别让你的代码裸奔！Spring Boot混淆全攻略（附配置）

01 引言

企业中为了公司的发展，通常会采用分析竞品产品、业务等方式来学习以及弥补自己业务的不足。作为底层的开发人员自认也会去扒竞品公司对应产品的代码，分析亮点以及可取之处，来精进自己的技术以及扩展自己的产品。

通过技术手段通过会使用反编译的方式来解析二进制文件。但是有不少产品使用的代码混淆的技术，大大的提升了逆向工程的难度。

今天，我们就通过**Spring Boot + ProGuard**的实战项目，来给大家好好聊聊Java代码混淆这件事。

02 什么是代码混淆

2.1 简介

代码混淆（Obfuscation）就是把有意义的类名、方法名、变量名改成毫无意义的字母组合，让逆向工程师看得头皮发麻，但又不会影响程序正常运行。

简单来说，就是这样：

public class UserService {
    public String getUserPassword(String username) { ... }
}

// 混淆后
public class UserService {
    public String a(String b) { ... }
}

2.2 工具

**ProGuard**是Java领域最经典的代码混淆工具，主要功能如下：

插件的地址：github.com/wvengen/pro…

03 实战

本是实战将通过sprinboot+proguard-maven-plugin插件实现代码混淆的逻辑。

3.1 项目结构

java-confusion/
├── pom.xml                          # Maven配置（含ProGuard插件）
├── proguard.conf                    # 混淆配置文件
└── src/main/java/com/example/demo/
    ├── DemoApplication.java         # 启动类
    ├── controller/UserController.java
    ├── entity/User.java
    └── service/UserService.java

3.2 Maven依赖

<plugin>
    <groupId>com.github.wvengen</groupId>
    <artifactId>proguard-maven-plugin</artifactId>
    <version>2.7.0</version>
    <executions>
        <execution>
            <phase>package</phase>
            <goals>
                <!-- 打包的時候混淆 -->
                <goal>proguard</goal>
            </goals>
            <configuration>
                <obfuscate>true</obfuscate>
                <!-- 混淆之前的jar -->   
                <injar>${project.build.finalName}.jar</injar>
                <!-- 混淆之后的jar --> 
                <outjar>${project.build.finalName}-obfuscated.jar</outjar>
                <!-- 混淆时的规则文件 --> 
                <proguardInclude>${basedir}/proguard.conf</proguardInclude>
                <libs>
					 <!-- ProGuard依赖JDK的核心库 --> 
                    <lib>${java.home}/lib/rt.jar</lib>
                </libs>  
               <!-- 自动生成库配置 --> <generateTemporaryConfigurationFile>true</generateTemporaryConfigurationFile>
            </configuration>
        </execution>
    </executions>
</plugin>

执行命令：

mvn clean package

打包完成后，会生成一个xxxx-obfuscated.jar后缀的混淆包。

3.3 核心配置解析

核心的配置文件是proguard.conf。

最基础的优化设置

SpringBoot 相关

-keep class org.springframework.** { *; }

️ 重要！Spring大量使用反射和注解，混淆必挂！

不仅是Spring，这些也必须保留：

• 所有被Spring管理的Bean（Controller、Service、Repository）
• 注解类
• 配置文件类

应用层保留规则

项目里这几个类是核心，必须保留：

# 保留 DemoApplication 类的所有成员不被混淆
# 因为包含 @SpringBootApplication 注解和 main 方法入口
-keep class com.example.demo.DemoApplication { *; }

# 保留 User 实体类的公开字段和方法
# 实体类需要被 JSON 序列化/反序列化,字段名必须保留
-keep public class com.example.demo.entity.User {
    public <fields>;    # 保留所有公开字段
    public <methods>;   # 保留所有公开方法
}

# Controller保留方法（路由映射需要）
-keep public class com.example.demo.controller.UserController {
    public <methods>;
}

# 此选项将保存接口中的所有原始名称（不混淆）
# Spring 依赖注入需要通过方法名反射调用
-keepnames interface ** { *; }

04 测试效果

我们直接打包看看日志：

打包完成之后会生成一些文件：

• demo-obfuscation-1.0.0.jar:：混淆之前的jar

  

• demo-obfuscation-1.0.0-obfuscated.jar：混淆之后的jar

  

• generated-proguard.conf：依赖的库

  

• proguard_map.txt：是混淆的基本映射

  

• proguard_seed：混淆的原始列表

  

05 小结

代码混淆不是银弹，只能加大逆向工程的难度。使用时，应该注意：

• ProGuard是Java混淆的事实标准，配置灵活且功能强大
• Spring Boot项目混淆要格外小心，反射和注解是重灾区
• 混淆后必须全面测试，否则上线就是事故
• 混淆不是银弹，核心逻辑还是得上服务端

觉得有用的话，点个在看转发支持一下，关注我，持续更新更多硬核干货！