怎么利用自定义ClassLoader完成企业级核心类文件的运行期解密保护

核心是仅加密常量池中带@Encrypted注解或ENC_前缀的敏感字符串，用AES-128-CBC加密并附加HMAC-SHA256签名，通过自定义ClassLoader在findClass中解密，密钥通过JVM参数或KMS注入且严格隔离。

核心是让敏感类在磁盘上始终以密文存在，仅在 JVM 加载瞬间解密并进入内存，且明文生命周期极短。不加密整个 class 文件，只加密常量池中真正敏感的字符串字面量——比如 API 密钥、SQL 模板、硬编码 Token 等。

只动常量池，不动字节码结构

整文件 AES 加密会破坏 ClassFile 格式，JVM 直接抛 NoClassDefFoundError。正确做法是用 ASM 或 Javassist 扫描编译后的 .class，在常量池（Constant Pool）中定位带 @Encrypted 注解或以 ENC_ 开头的 CONSTANT_Utf8_info 条目：

• 将原始字符串（如 "sk_test_xxx"）替换成 Base64 编码的密文块，格式类似 "ENC_aGVsbG8=|iv:abcd|hmac:xyz"
• 密文由 AES-128-CBC 加密生成，每次附带 16 字节随机 IV，并追加 HMAC-SHA256 签名防篡改
• 签名密钥与解密密钥物理分离，避免单点泄露导致全盘失效
• 替换后 class 文件仍可通过 javap 查看，结构合法，但敏感值不可读

在 findClass 中完成可信解密

继承 ClassLoader，重写 findClass，跳过双亲委派，接管目标类加载全流程：

• 调用 getResourceAsStream(name.replace('.', '/') + ".class") 读取加密字节流
• 用 ASMClassReader 解析字节码，遍历常量池，识别 ENC_ 标记项
• 提取密文、IV 和 HMAC，先验证签名，再 AES 解密还原原始字符串
• 构造新字节数组，调用 super.defineClass(name, decryptedBytes, 0, len)
• 解密完成后立即用 Arrays.fill(keyBytes, (byte) 0) 清空密钥内存

密钥必须与代码完全隔离

密钥是整个方案最脆弱的一环，任何硬编码都会让保护形同虚设：

• 禁止出现在源码、配置文件、jar 包资源中
• 推荐通过 JVM 启动参数注入，例如 -Dapp.key=xxx
• 生产环境对接 KMS 或 HSM；Android 上优先使用 Keystore
• 多环境支持可按环境变量区分密钥（如 CLASS_ENCRYPT_KEY_PROD），启动时动态加载
• 禁用日志打印密钥，堆转储路径需限制权限，避免 keyBytes 泄露

绕开框架和反射的加载陷阱

Spring、Hibernate、Servlet 容器等会提前加载大量类，稍有不慎就会触发初始化失败：

• 不要加密 Spring Bean 类本身，但可加密其内部的 static final String 字段
• 避免加密被 Class.forName 或反射直接引用的类，否则类加载链路中断
• 对框架扫描路径（如 @ComponentScan）做白名单过滤，确保非敏感类走默认加载器
• 测试阶段启用 -verbose:class 观察实际加载顺序，及时发现隐式依赖