Shiro使用官方方法生成密钥

原文链接：这里

0.前言

平台漏洞扫描，扫描到一堆安全问题，其中有个关于Shiro的。主要是说如果项目中shiro key为默认密钥或者网络公开密钥，就可以轻易的导致远程代码执行。

本文框架SSM+shiro。

1.解决思路

(1)升级Shiro版本，为1.7.0以上

(2)自定义一个base 64 AES密钥

(3)使用官方生成的方法提供密钥

本文选择的是第三种办法：

我们在shrio新建一个类。参照下面的代码进行添加：

 

import javax.crypto.KeyGenerator;

import javax.crypto.SecretKey;

import java.security.NoSuchAlgorithmException;

public class GenerateCipherKey {

/** * 随机生成秘钥，参考org.apache.shiro.crypto.AbstractSymmetricCipherService#generateNewKey(int) * @return */

public static byte[] generateNewKey() {

KeyGenerator kg;

try {

kg = KeyGenerator.getInstance("AES");

} catch (NoSuchAlgorithmException e) {

String msg="this is required to function!";

throw new IllegalStateException(msg, e);

}

kg.init(128);

SecretKey key = kg.generateKey();

byte[] encoded = key.getEncoded();

return encoded;

}

}

然后在spring-shrio.xml找到remembermeManager。添加如下代码：

<property name="cipherKey" value="#{T(com.xxxxxx.xxxxx.shiro.GenerateCipherKey).generateNewKey()}"/>

其中，xxx表示你项目的地址，也就是你上面定义类的地址。