一、接口数据脱敏概述
1.1 接口数据脱敏的定义
接口数据脱敏是Web应用程序中一种保护敏感信息不被泄露的关键措施。在API接口向客户端返回数据时，系统会对包含敏感信息（如个人身份信息、财务数据等）的字段进行特殊处理。这种处理通过应用特定的算法或遵循既定规则，将敏感字段的部分或全部内容隐藏或替换，例如使用星号（*）或其他占位符来掩盖关键信息，同时尽量保持数据的原有格式和可读性（在合理范围内），以确保敏感数据不会直接暴露给未经授权的访问者。
1.2 接口数据脱敏的重要性
数据脱敏的重要性不言而喻，它主要体现在以下几个核心方面：
强化用户隐私保护：对个人敏感信息，如姓名、身份证号码、手机号码等，进行脱敏处理，是保护用户隐私的有效手段。这种措施能够防止敏感信息被非法获取和滥用，维护用户的合法权益。
确保法律合规性：随着全球范围内数据保护法规的日益严格，如欧盟的《通用数据保护条例》(GDPR)和中国的《个人信息保护法》等，实施数据脱敏已成为企业合规运营的重要一环。通过脱敏处理，企业能够避免触犯相关法律条款，减少因违规而产生的法律风险。
降低数据泄露风险：即便在数据不慎泄露的情况下，经过脱敏处理的数据也能显著降低敏感信息被直接利用的风险。这有助于减轻因数据泄露给企业、用户及社会带来的潜在危害。
促进数据的安全共享与利用：在保护个人隐私的前提下，脱敏后的数据仍保留了足够的分析价值，为数据的安全共享和有效利用提供了可能。这有助于推动数据在合规框架内的流通与融合，促进数据价值的最大化释放。
1.3 接口数据脱敏的实现方式
手动脱敏：直接在业务逻辑层代码中对敏感数据进行逐一处理，这种方式虽然提供了较高的灵活性，但容易因人为疏忽而导致脱敏遗漏，同时也会导致代码中存在大量的重复处理逻辑，增加了维护成本。
AOP（面向切面编程）：利用AOP技术，通过定义切面来拦截API接口返回的数据流，从而实现对敏感字段的统一处理。这种方法能够将脱敏逻辑从业务代码中抽离出来，实现集中管理，提高了代码的可维护性和可扩展性。然而，由于AOP的拦截机制会增加一定的处理开销，因此可能会对系统性能产生一定的影响。
自定义序列化器：在数据序列化阶段，通过集成JSON序列化框架（如Jackson）提供的自定义序列化器功能，实现对敏感字段的自动化处理。这种方法既保持了较好的性能表现，又能够将脱敏逻辑与业务逻辑完全解耦，使得代码更加清晰和易于管理。
注解+反射：通过定义自定义注解来标记那些需要进行脱敏处理的字段，然后在数据返回前，利用Java的反射机制在运行时动态地遍历这些字段并进行脱敏处理。这种方式简化了脱敏操作的使用过程，使得开发者只需通过简单的注解标记即可实现脱敏功能，同时也有利于后续对脱敏逻辑的维护和扩展。
二、开发环境
JDK版本：JDK 17
Spring Boot版本：Spring Boot 3.2.2
构建工具：Maven
三、实现接口返回数据脱敏
3.1 添加依赖
首先在 pom.xml 文件中添加必要的依赖：
<dependency>
<groupId>cn.hutool</groupId>
<artifactId>hutool-all</artifactId>
<version>5.8.25</version>
</dependency>
<dependency>
<groupId>com.fasterxml.jackson.core</groupId>
<artifactId>jackson-databind</artifactId>
<version>2.9.2</version>
</dependency>3.2 创建自定义注解
接下来，我们创建一个自定义注解 @Desensitize：
@Retention(RetentionPolicy.RUNTIME)
@Target(ElementType.FIELD)
@JacksonAnnotationsInside
@JsonSerialize(using = DesensitizeSerializer.class)
public @interface Desensitize {
DesensitizeType type() default DesensitizeType.DEFAULT;
int startInclude() default 0;
int endExclude() default 0;
}3.3 定义脱敏枚举类
然后，定义枚举类 DesensitizeType 来定义字段的脱敏类型：
public enum DesensitizeType {
DEFAULT,
CUSTOM_RULE,
PHONE,
EMAIL,
ID_CARD,
BANK_CARD,
ADDRESS,
CHINESE_NAME,
PASSWORD,
}3.4 创建自定义序列化类
Hutool支持的脱敏数据类型包括：
用户id
中文姓名
身份证号
座机号
手机号
地址
电子邮件
密码
中国大陆车牌，包含普通车辆、新能源车辆
银行卡
整体来说，所谓脱敏就是隐藏掉信息中的一部分关键信息，用
*代替。大家可以自己看一看DesensitizedUtil类中方法，其实就是replace方法和hide方法的使用，想要自定义规则进行隐藏可以仿照进行实现。
public class DesensitizeSerializer extends JsonSerializer<String> implements ContextualSerializer {
private DesensitizeType type;
private int startInclude;
private int endExclude;
public DesensitizeSerializer() {
this.type = DesensitizeType.DEFAULT;
}
public DesensitizeSerializer(DesensitizeType type) {
this.type = type;
}
@Override
public void serialize(String value, JsonGenerator gen, SerializerProvider serializers) throws IOException {
switch (type) {
case CUSTOM_RULE:
gen.writeString(StrUtil.hide(value, startInclude, endExclude));
break;
case PHONE:
gen.writeString(DesensitizedUtil.mobilePhone(value));
break;
case EMAIL:
gen.writeString(DesensitizedUtil.email(value));
break;
case ID_CARD:
gen.writeString(DesensitizedUtil.idCardNum(value, 1, 2));
break;
case BANK_CARD:
gen.writeString(DesensitizedUtil.bankCard(value));
break;
case ADDRESS:
gen.writeString(DesensitizedUtil.address(value, 8));
break;
case CHINESE_NAME:
gen.writeString(DesensitizedUtil.chineseName(value));
break;
case PASSWORD:
gen.writeString(DesensitizedUtil.password(value));
break;
default:
gen.writeString(value);
break;
}
}
@Override
public JsonSerializer<?> createContextual(SerializerProvider prov, BeanProperty property) {
if (property != null) {
Desensitize annotation = property.getAnnotation(Desensitize.class);
if (annotation != null) {
this.type = annotation.type();
if (annotation.type() == DesensitizeType.CUSTOM_RULE) {
this.startInclude = annotation.startInclude();
this.endExclude = annotation.endExclude();
}
}
}
return this;
}
}代码分析：
serialize方法在序列化字符串时被调用，根据脱敏类型对字符串进行相应的脱敏处理。根据不同的脱敏类型，使用不同的处理方法对字符串进行脱敏，并将处理后的字符串写入JSON生成器中。createContextual方法根据上下文信息创建自定义的序列化器，用于处理带有@Desensitize注解的属性。它通过获取注解中的脱敏类型和自定义规则的起始位置和结束位置，对实例进行相应的设置，并返回自定义的序列化器实例。
这个序列化器的主要用途是在 JSON 序列化过程中自动对标记了 @Desensitize 注解的字段进行脱敏处理。
四、测试
4.1 编写测试代码
编写实体类
@Data public class UserDTO { @Desensitize(type = DesensitizeType.CHINESE_NAME) private String name; @Desensitize(type = DesensitizeType.PHONE) private String phoneNumber; @Desensitize(type = DesensitizeType.EMAIL) private String email; @Desensitize(type = DesensitizeType.PASSWORD) private String password; @Desensitize(type = DesensitizeType.ID_CARD) private String idCard; @Desensitize(type = DesensitizeType.BANK_CARD) private String bankCard; @Desensitize(type = DesensitizeType.ADDRESS) private String address; @Desensitize(type = DesensitizeType.CUSTOM_RULE, startInclude = 2, endExclude = 6) private String gameName; }编写测试接口
@RestController
@RequestMapping("/test")
public class TestController {
@GetMapping("/desensitize")
public UserDTO getUser() {
UserDTO userDTO = new UserDTO();
userDTO.setName("孙大圣");
userDTO.setEmail("shijun@163.com");
userDTO.setPhoneNumber("12345678901");
userDTO.setPassword("123456");
userDTO.setAddress("辽宁省盘锦市兴隆台区红村乡441号");
userDTO.setIdCard("447465200912089605");
userDTO.setBankCard("6217000000000000000");
userDTO.setGameName("超级无敌大铁锤");
return userDTO;
}
}4.2 测试
五、总结
本文深入探讨了在SpringBoot应用程序中实施数据脱敏策略的关键性，并提出了一种创新的解决方案，即通过集成自定义注解与Hutool脱敏工具类来高效地实现数据脱敏。此方案旨在精准地对敏感信息进行脱敏处理，确保用户隐私得到妥善保护，同时维护数据的安全性。我们期待这一方案能为开发者们提供有价值的参考，共同提升数据保护水平。😊
