來源：www.ibm.com俞良松 ([email protected])軟件工程師，獨立顧問和自由撰稿人2001 年 10 月Java程序的源代碼很容易被別人偷看。只要有一個反編譯器，任何人都可以分析別人的代碼。本文討論如何在不修改原有程序的情況下，通過加密技術保護源代碼。 一、為什么要加密？ 對于傳統的C或C++之類的語言來說，要在Web上保護源代碼是很容易的，只要不發布它就可以。遺憾的是，Java程序的源代碼很容易被別人偷看。只要有一個反編譯器，任何人都可以分析別人的代碼。Java的靈活性使得源代碼很容易被竊取，但與此同時，它也使通過加密保護代碼變得相對容易，我們唯一需要了解的就是Java的ClassLoader對象。當然，在加密過程中，有關Java Cryptography Extension（JCE）的知識也是必不可少的。 有幾種技術可以“模糊Java類文件，使得反編譯器處理類文件的效果大打折扣。然而，修改反編譯器使之能夠處理這些經過模糊處理的類文件并不是什么難事，所以不能簡單地依賴模糊技術來保證源代碼的安全。 我們可以用流行的加密工具加密應用，比如PGP（Pretty Good Privacy）或GPG（GNU Privacy Guard）。這時，最終用戶在運行應用之前必須先進行解密。但解密之后，最終用戶就有了一份不加密的類文件，這和事先不進行加密沒有什么差別。 Java運行時裝入字節碼的機制隱含地意味著可以對字節碼進行修改。JVM每次裝入類文件時都需要一個稱為ClassLoader的對象，這個對象負責把新的類裝入正在運行的JVM。JVM給ClassLoader一個包含了待裝入類（比如java.lang.Object）名字的字符串，然后由ClassLoader負責找到類文件，裝入原始數據，并把它轉換成一個Class對象。 我們可以通過定制ClassLoader，在類文件執行之前修改它。這種技術的應用非常廣泛——在這里，它的用途是在類文件裝入之時進行解密，因此可以看成是一種即時解密器。由于解密后的字節碼文件永遠不會保存到文件系統，所以竊密者很難得到解密后的代碼。 由于把原始字節碼轉換成Class對象的過程完全由系統負責，所以創建定制ClassLoader對象其實并不困難，只需先獲得原始數據，接著就可以進行包含解密在內的任何轉換。 Java 2在一定程度上簡化了定制ClassLoader的構建。在Java 2中，loadClass的缺省實現仍舊負責處理所有必需的步驟，但為了顧及各種定制的類裝入過程，它還調用一個新的findClass方法。 這為我們編寫定制的ClassLoader提供了一條捷徑，減少了麻煩：只需覆蓋findClass，而不是覆蓋loadClass。這種方法避免了重復所有裝入器必需執行的公共步驟，因為這一切由loadClass負責。 不過，本文的定制ClassLoader并不使用這種方法。原因很簡單。如果由默認的ClassLoader先尋找經過加密的類文件，它可以找到；但由于類文件已經加密，所以它不會認可這個類文件，裝入過程將失敗。因此，我們必須自己實現loadClass，稍微增加了一些工作量。 二、定制類裝入器 每一個運行著的JVM已經擁有一個ClassLoader。這個默認的ClassLoader根據CLASSPATH環境變量的值，在本地文件系統中尋找合適的字節碼文件。 應用定制ClassLoader要求對這個過程有較為深入的認識。我們首先必須創建一個定制ClassLoader類的實例，然后顯式地要求它裝入另外一個類。這就強制JVM把該類以及所有它所需要的類關聯到定制的ClassLoader。Listing 1顯示了如何用定制ClassLoader裝入類文件。 【Listing 1：利用定制的ClassLoader裝入類文件】// 首先創建一個ClassLoader對象ClassLoader myClassLoader = new myClassLoader();// 利用定制ClassLoader對象裝入類文件// 并把它轉換成Class對象Class myClass = myClassLoader.loadClass( 'mypackage.MyClass' );// 最后，創建該類的一個實例Object newInstance = myClass.newInstance();// 注意，MyClass所需要的所有其他類，都將通過// 定制的ClassLoader自動裝入如前所述，定制ClassLoader只需先獲取類文件的數據，然后把字節碼傳遞給運行時系統，由后者完成余下的任務。 ClassLoader有幾個重要的方法。創建定制的ClassLoader時，我們只需覆蓋其中的一個，即loadClass，提供獲取原始類文件數據的代碼。這個方法有兩個參數：類的名字，以及一個表示JVM是否要求解析類名字的標記（即是否同時裝入有依賴關系的類）。如果這個標記是true，我們只需在返回JVM之前調用resolveClass。 【Listing 2：ClassLoader.loadClass()的一個簡單實現】public Class loadClass( String name, boolean resolve )throws ClassNotFoundException {try {// 我們要創建的Class對象Class clasz = null;// 必需的步驟1：如果類已經在系統緩沖之中，// 我們不必再次裝入它clasz = findLoadedClass( name );if (clasz != null)return clasz;// 下面是定制部分byte classData[] = /* 通過某種方法獲取字節碼數據 */;if (classData != null) {// 成功讀取字節碼數據，現在把它轉換成一個Class對象clasz = defineClass( name, classData, 0, classData.length );}// 必需的步驟2：如果上面沒有成功，// 我們嘗試用默認的ClassLoader裝入它if (clasz == null)clasz = findSystemClass( name );// 必需的步驟3：如有必要，則裝入相關的類if (resolve && clasz != null) Java, java, J2SE, j2se, J2EE, j2ee, J2ME, j2me, ejb, ejb3, JBOSS, jboss, spring, hibernate, jdo, struts, webwork, ajax, AJAX, mysql, MySQL, Oracle, Weblogic, Websphere, scjp, scjd