Java 代碼保護：從混淆到類加載器加殼、Javassist 動態字節碼加密實戰

Java 類文件結構公開、反編譯容易，傳統混淆 (ProGuard) 僅提高閱讀難度。本文探討三級防護體系：混淆 → 類加載器加殼 → Javassist 運行時字節碼加密，並分析各層防禦深度與破解成本。

級別 0：基線混淆 (必做)

• ProGuard/R8：重命名包/類/方法/欄位 → a/b/c，移除未用代碼、優化位元碼、縮減體積。
• 關鍵配置：-keepattributes Signature,SourceFile,LineNumberTable 保留除錯資訊 (可選)。
• 局限：邏輯結構完全可見，熟練逆向工程師可還原核心演算法。

級別 1：自定義 ClassLoader 加殼

原理：將 .class 文件加密 (AES/XOR/自定義) 存放，實現 ClassLoader.defineClass 解密後定義類。

public class EncryptedClassLoader extends ClassLoader {
    private final SecretKey key;
    private final String encryptedPath;

    public EncryptedClassLoader(SecretKey key, String path) {
        this.key = key; this.encryptedPath = path;
    }

    @Override
    protected Class findClass(String name) throws ClassNotFoundException {
        byte[] encrypted = readEncryptedBytes(name); // 從 jar/檔案/網路讀取
        byte[] decrypted = decrypt(encrypted, key);
        return defineClass(name, decrypted, 0, decrypted.length);
    }
}

弱點：解密邏輯與金鑰在 JVM 內存中，javaagent / JVMTI / hsdb / arthas 可在 defineClass 時攔截原始字節碼。需結合 JVM 參數 -XX:+UnlockDiagnosticVMOptions -XX:+LogClassLoading 等對抗，但屬攻防賽跑。

級別 2：Javassist 運行時字節碼重寫加密

Javassist (Java Programming Assistant) 允許載入時/運行時修改字節碼：插入解密桩、替換方法體、動態生成代理類。

// 啟動時掛載 Java Agent
public class CryptoAgent {
    public static void premain(String args, Instrumentation inst) {
        inst.addTransformer(new ClassFileTransformer() {
            @Override
            public byte[] transform(ClassLoader loader, String className, 
                                    Class classBeingRedefined, ProtectionDomain pd, byte[] classfileBuffer) {
                if (shouldEncrypt(className)) {
                    CtClass ct = ClassPool.getDefault().makeClass(new ByteArrayInputStream(classfileBuffer));
                    // 為敏感方法插入解密/校驗邏輯
                    for (CtMethod m : ct.getDeclaredMethods()) {
                        if (m.hasAnnotation(Sensitive.class)) {
                            m.insertBefore("com.mysec.RuntimeDecryptor.decryptAndVerify();");
                        }
                    }
                    return ct.toBytecode();
                }
                return null;
            }
        });
    }
}

優勢：邏輯分散在運行時，靜態分析極難；可結合硬體綁定 (CPU ID/TPM)、授權服務器心跳動態下發解密金鑰。

現實威脅模型與建議

最佳實踐清單

1. 發布版必開 ProGuard/R8 (混淆+縮減+優化)。
2. 核心演算法、密鑰、協議細節下沉 Server 端，客戶端僅保留薄介面。
3. 若必須客戶端執行敏感邏輯：Javassist Agent + 動態金鑰 + 完整性校驗 (CRC/SHA-256 自檢)。
4. 配合 JDK 9+ 模組系統 封裝內部 API，--add-opens 僅對信任模組開放。
5. 建立 事件監控：偵測動態掛載 Agent、JDI 連接、異常類加載，觸發告警/熔斷。

代碼保護沒有銀彈，目標是提高破解成本超過攻擊收益。架構層面「核心不下發」永遠優於技術層面「加殼對抗」。