1. 项目概述与核心价值最近在重构一个老的后台管理系统里面涉及到不少用户的身份证号、手机号、银行卡号这类敏感信息。之前这些数据都是明文存储在数据库里的每次代码里要存要查都得手动调用加解密工具类不仅代码里散落着各种AESUtil.encrypt(idCard)而且很容易遗漏一不留神就“裸奔”了。更头疼的是历史数据迁移也是个麻烦事。我就琢磨着能不能把这些加解密的逻辑从业务代码里彻底抽离出来让框架自动去干这个脏活累活。自然而然地就想到了Mybatis的拦截器。这玩意儿就像给SQL执行过程装了几个“监听器”我们可以在SQL执行前、参数设置时、结果集返回后这些关键节点进行拦截和加工。结合自定义注解我们可以优雅地标记出哪些实体类的字段是敏感数据。最终的目标是开发者在实体类字段上加个SensitiveData注解后续所有通过Mybatis进行的插入、更新操作这个字段的值会自动被加密后再入库而在查询时从数据库取出的密文又会自动解密成明文填充回实体对象。整个过程对业务代码完全透明开发者可以像操作普通字段一样读写这些敏感数据极大地提升了开发效率和系统安全性。这个方案特别适合那些对数据安全有要求但又不想让加解密逻辑侵入核心业务代码的场景。2. 整体架构设计与核心思路拆解2.1 为什么选择Mybatis拦截器注解方案面对敏感数据加解密的需求通常有几种常见的方案。最简单粗暴的当然是在业务层的Service里每次保存或查询前后手动调用加解密工具但这样代码侵入性太强重复劳动多容易出错。另一种思路是利用数据库本身的功能比如MySQL的AES_ENCRYPT/DECRYPT函数但这将加解密逻辑绑定在了具体的SQL语句或数据库视图上不够灵活且更换数据库成本高。还有像使用JPA的Converter注解或Hibernate的Type注解但这依赖于特定的ORM框架。相比之下Mybatis拦截器自定义注解的方案优势明显。首先Mybatis作为一款半自动化的ORM框架其插件拦截器机制非常强大且标准允许我们在Executor、ParameterHandler、ResultSetHandler、StatementHandler这四个核心组件的执行过程中插入自定义逻辑。其次这个方案与业务代码完全解耦。加解密作为一个横切关注点被独立到了拦截器中实体类仅通过一个声明式的注解来标识敏感字段符合“约定优于配置”的原则。最后它的灵活性极高。我们可以自由选择加密算法如AES、SM4、密钥管理方式并且可以精细控制拦截的SQL类型INSERT、UPDATE、SELECT甚至可以为不同的注解配置不同的加密策略。2.2 核心组件与执行流程整个方案主要包含三个核心组件它们协同工作形成一个完整的自动加解密管道。自定义注解 (SensitiveData)这是一个标记注解它的唯一作用就是贴在实体类的字段上声明“这个字段需要被自动加解密”。注解本身可以非常简洁暂时不需要任何属性。未来如果需要扩展比如支持不同的加密算法可以增加一个algorithm()属性。加密拦截器 (EncryptInterceptor)它主要拦截ParameterHandler。当Mybatis准备将Java实体对象即Mapper方法的参数设置到SQL语句的占位符?时ParameterHandler的setParameters方法会被调用。我们的加密拦截器就在此刻介入遍历实体对象的所有字段检查是否带有SensitiveData注解。如果发现则获取该字段的原始值明文调用加密服务进行加密然后再通过反射将加密后的密文设置回该字段或一个临时的副本中确保最终传入数据库的是密文。解密拦截器 (DecryptInterceptor)它主要拦截ResultSetHandler。当Mybatis从数据库执行查询拿到ResultSet结果集并准备将其映射回Java实体对象时ResultSetHandler的handleResultSets方法会被调用。解密拦截器在此刻介入在Mybatis完成默认的结果集映射之后遍历返回的实体对象查找带有SensitiveData注解的字段获取其在数据库中的值密文调用解密服务进行解密最后通过反射将解密后的明文设置回对象字段。整个执行流程对于一次插入操作是这样的Mybatis Mapper调用-加密拦截器工作将实体中注解字段加密-执行SQL密文入库。对于一次查询操作则是执行SQL取出密文-Mybatis默认映射对象字段值为密文-解密拦截器工作将对象中注解字段解密-返回明文对象给业务层。注意这里有一个关键细节需要处理。加密拦截器直接修改了ParameterHandler要处理的原始参数对象。为了避免对后续流程或同一对象在其他地方的使用造成不可预期的影响一个更稳健的做法是在拦截器内部创建参数对象的深拷贝或使用MetaObject工具进行安全的值替换。本文为简化核心逻辑先采用直接修改的方式但在“常见问题”章节会详细讨论更安全的实现。3. 核心细节解析与实操要点3.1 自定义注解的设计与使用自定义注解SensitiveData的设计追求极简和可扩展性。目前它只是一个标记。import java.lang.annotation.*; /** * 敏感数据注解。 * 被此注解标记的字段在通过Mybatis持久化时会被自动加密查询时会被自动解密。 */ Documented Retention(RetentionPolicy.RUNTIME) // 运行时保留这是关键 Target(ElementType.FIELD) // 只能用在字段上 public interface SensitiveData { // 未来可扩展属性例如 // String algorithm() default AES; // String keyId() default default; }关键点解析Retention(RetentionPolicy.RUNTIME)这是生命线。必须设置为RUNTIME注解信息才会在JVM运行期间保留这样我们的拦截器才能通过反射机制在运行时获取到它。如果设置为CLASS或SOURCE运行时是拿不到注解信息的。Target(ElementType.FIELD)明确指定该注解只能用于类的字段成员变量上符合我们的设计意图。在实体类中的使用示例public class User { private Long id; private String name; SensitiveData private String idCard; // 身份证号 SensitiveData private String mobile; // 手机号 private String email; // ... getters and setters }使用起来非常简单直观。未来如果业务复杂比如银行卡号需要用更强的SM4加密而手机号用AES我们就可以扩展注解通过SensitiveData(algorithm SM4)来指定。3.2 Mybatis拦截器的实现原理与注册Mybatis拦截器需要实现org.apache.ibatis.plugin.Interceptor接口。这个接口有三个方法intercept(Invocation invocation)这是核心方法在这里编写你的拦截逻辑。plugin(Object target)Mybatis会用这个方法来包装目标对象生成代理对象。通常直接使用Plugin.wrap(target, this)即可。setProperties(Properties properties)可以用来接收拦截器配置的参数。但更关键的是Intercepts和Signature注解它们用来声明你的拦截器要拦截哪个Mybatis组件、哪个方法。加密拦截器签名示例Intercepts({ Signature(type ParameterHandler.class, // 拦截参数处理器 method setParameters, // 拦截设置参数的方法 args {PreparedStatement.class}) // 该方法参数列表 }) Component // 如果使用Spring可加此注解方便管理 public class EncryptInterceptor implements Interceptor { // ... 具体实现 }解密拦截器签名示例Intercepts({ Signature(type ResultSetHandler.class, // 拦截结果集处理器 method handleResultSets, // 拦截处理结果集的方法 args {Statement.class}) // 该方法参数列表 }) Component public class DecryptInterceptor implements Interceptor { // ... 具体实现 }拦截器的注册 如果你使用纯Mybatis需要在mybatis-config.xml中配置plugins plugin interceptorcom.yourpackage.interceptor.EncryptInterceptor/ plugin interceptorcom.yourpackage.interceptor.DecryptInterceptor/ /plugins如果你使用Spring Boot通常更简单只需要将拦截器类声明为Spring Bean比如加上Component注解Mybatis-Spring-Boot-Starter在启动时会自动发现并注册这些实现了Interceptor接口的Bean。3.3 加解密服务的设计与密钥管理加解密逻辑应该被抽象成一个独立的服务例如SensitiveDataCryptoService然后在拦截器中注入并使用它。这样做有利于算法可替换今天用AES明天想换国密SM4只需修改这个服务的实现。密钥管理集中化密钥的获取、存储、轮换等复杂逻辑被封装在此。便于测试可以轻松Mock这个服务进行单元测试。一个简单的AES加密服务实现示例Service public class AesCryptoService implements SensitiveDataCryptoService { private static final String ALGORITHM AES; private static final String TRANSFORMATION AES/CBC/PKCS5Padding; // 使用CBC模式需要IV private SecretKeySpec secretKey; private IvParameterSpec iv; PostConstruct public void init() { // !!!警告以下仅为示例生产环境绝不能将密钥硬编码在代码中!!! String secretKeyStr Your32ByteLongSecretKey123!!; // 32字节 for AES-256 String ivStr Your16ByteLongIV!!; // 16字节 this.secretKey new SecretKeySpec(secretKeyStr.getBytes(StandardCharsets.UTF_8), ALGORITHM); this.iv new IvParameterSpec(ivStr.getBytes(StandardCharsets.UTF_8)); } Override public String encrypt(String plainText) { try { Cipher cipher Cipher.getInstance(TRANSFORMATION); cipher.init(Cipher.ENCRYPT_MODE, secretKey, iv); byte[] encryptedBytes cipher.doFinal(plainText.getBytes(StandardCharsets.UTF_8)); return Base64.getEncoder().encodeToString(encryptedBytes); // 输出Base64字符串便于存储 } catch (Exception e) { throw new RuntimeException(加密失败, e); } } Override public String decrypt(String cipherText) { try { Cipher cipher Cipher.getInstance(TRANSFORMATION); cipher.init(Cipher.DECRYPT_MODE, secretKey, iv); byte[] decodedBytes Base64.getDecoder().decode(cipherText); byte[] decryptedBytes cipher.doFinal(decodedBytes); return new String(decryptedBytes, StandardCharsets.UTF_8); } catch (Exception e) { throw new RuntimeException(解密失败, e); } } }生产环境密钥管理要点非常重要绝对禁止硬编码像上面示例那样把密钥写在代码里是严重的安全漏洞。推荐方案环境变量/启动参数通过-D参数或系统环境变量传入。配置中心从Apollo、Nacos等配置中心获取支持动态刷新和权限控制。密钥管理服务(KMS)使用云服务商如阿里云KMS、AWS KMS或自建的HashiCorp Vault来管理密钥实现密钥的安全生成、存储、轮换和访问审计。分层加密使用一个主密钥Master Key加密数据密钥Data Key数据密钥再加密实际数据。主密钥妥善保管数据密钥可与密文一起存储。4. 实操过程与核心环节实现4.1 加密拦截器(EncryptInterceptor)的完整实现加密拦截器的核心任务是在SQL参数设置前找到并加密所有标记了SensitiveData的字段。Intercepts({ Signature(type ParameterHandler.class, method setParameters, args {PreparedStatement.class}) }) Component Slf4j public class EncryptInterceptor implements Interceptor { Autowired private SensitiveDataCryptoService cryptoService; Override public Object intercept(Invocation invocation) throws Throwable { // 1. 获取被拦截的目标对象即ParameterHandler ParameterHandler parameterHandler (ParameterHandler) invocation.getTarget(); // 2. 通过MetaObject工具类方便地操作对象的属性 // 这里获取的是Mapper方法传入的原始参数对象 MetaObject metaObject SystemMetaObject.forObject(parameterHandler.getParameterObject()); // 3. 获取参数对象的类型。可能是单个实体也可能是Map、集合等。 Object originalParameter metaObject.getOriginalObject(); // 4. 处理加密逻辑 processEncryption(originalParameter); // 5. 继续执行原方法即设置参数到PreparedStatement return invocation.proceed(); } private void processEncryption(Object parameter) { if (parameter null) { return; } // 处理单个实体对象 if (!isCollectionOrMap(parameter)) { encryptFields(parameter); return; } // 处理集合如ListUser或数组 if (parameter instanceof Collection) { for (Object item : (Collection?) parameter) { encryptFields(item); } } // 处理Map通常用于Param注解传递多个参数 else if (parameter instanceof Map) { Map?, ? paramMap (Map?, ?) parameter; for (Object value : paramMap.values()) { if (value ! null !isBasicType(value.getClass())) { encryptFields(value); } } } } private void encryptFields(Object object) { if (object null) { return; } Class? clazz object.getClass(); // 遍历该类的所有字段包括父类按需 for (Field field : clazz.getDeclaredFields()) { // 检查字段是否被SensitiveData注解标记 if (field.isAnnotationPresent(SensitiveData.class)) { field.setAccessible(true); // 允许访问私有字段 try { Object originalValue field.get(object); if (originalValue instanceof String) { String plainText (String) originalValue; if (StringUtils.isNotBlank(plainText)) { // 调用加密服务进行加密 String cipherText cryptoService.encrypt(plainText); // 将加密后的值设置回字段 field.set(object, cipherText); log.debug(字段 [{}] 已加密明文{} 密文{}, field.getName(), plainText, cipherText); } } else { log.warn(SensitiveData注解只能用于String类型字段字段 {} 类型为 {}, field.getName(), field.getType()); } } catch (IllegalAccessException e) { log.error(加密字段访问失败: {}, field.getName(), e); } } } } // 辅助方法判断是否为集合或Map private boolean isCollectionOrMap(Object obj) { return obj instanceof Collection || obj instanceof Map || obj.getClass().isArray(); } // 辅助方法判断是否为基本类型或包装类、String等 private boolean isBasicType(Class? clazz) { return clazz.isPrimitive() || clazz String.class || clazz Integer.class || clazz Long.class || // ... 其他包装类型 Number.class.isAssignableFrom(clazz) || clazz Boolean.class || clazz Date.class; } Override public Object plugin(Object target) { return Plugin.wrap(target, this); } Override public void setProperties(Properties properties) { // 可以从mybatis配置中读取属性例如加密算法的选择 } }实操心得MetaObject是Mybatis提供的一个非常强大的反射工具类用它来操作对象属性比直接用Java原生反射更安全、更方便它能很好地处理对象为null、获取泛型属性等情况。对参数类型的判断单个对象、集合、Map至关重要。因为Mapper方法的参数可能是User可能是ListUser也可能是Param注解包装的Map。必须覆盖所有这些情况否则会出现部分数据未加密的漏洞。加密前判断字段值是否为空或空白字符串很有必要可以避免不必要的加密操作和潜在错误。4.2 解密拦截器(DecryptInterceptor)的完整实现解密拦截器在结果集映射完成后执行将对象中的密文字段解密。Intercepts({ Signature(type ResultSetHandler.class, method handleResultSets, args {Statement.class}) }) Component Slf4j public class DecryptInterceptor implements Interceptor { Autowired private SensitiveDataCryptoService cryptoService; Override public Object intercept(Invocation invocation) throws Throwable { // 1. 先执行原方法让Mybatis完成默认的结果集映射 // 此时返回的ListObject中对象的敏感字段值还是数据库中的密文 Object result invocation.proceed(); // 2. 如果查询结果为空直接返回 if (result null) { return null; } // 3. 处理解密逻辑 processDecryption(result); // 4. 返回解密后的结果 return result; } SuppressWarnings(unchecked) private void processDecryption(Object result) { // handleResultSets可能返回单个对象也可能是List if (result instanceof List) { ListObject resultList (ListObject) result; for (Object item : resultList) { decryptFields(item); } } else { // 返回单个对象的情况比如selectOne decryptFields(result); } } private void decryptFields(Object object) { if (object null || isBasicType(object.getClass())) { return; } Class? clazz object.getClass(); for (Field field : clazz.getDeclaredFields()) { if (field.isAnnotationPresent(SensitiveData.class)) { field.setAccessible(true); try { Object currentValue field.get(object); if (currentValue instanceof String) { String cipherText (String) currentValue; if (StringUtils.isNotBlank(cipherText)) { // 调用解密服务进行解密 String plainText cryptoService.decrypt(cipherText); field.set(object, plainText); log.debug(字段 [{}] 已解密密文{} 明文{}, field.getName(), cipherText, plainText); } } } catch (IllegalAccessException e) { log.error(解密字段访问失败: {}, field.getName(), e); } catch (Exception e) { // 解密过程可能出错如密文被篡改、密钥错误 log.error(字段 [{}] 解密失败密文值: {}, field.getName(), field.get(object), e); // 根据业务需求决定抛出异常、置空或保留密文 // field.set(object, null); } } } } // ... plugin和setProperties方法同上以及isBasicType辅助方法 }关键点与避坑指南执行顺序一定要先invocation.proceed()让Mybatis把数据库数据映射到对象里我们再进行解密。顺序反了就没数据可解了。结果类型判断handleResultSets方法返回的是Object但它可能是List查询多条也可能是单个实体对象查询单条即使接口声明返回ListMybatis内部也可能优化。所以必须做类型判断。解密异常处理解密过程可能失败例如密文格式错误、密钥不匹配。这里需要谨慎处理。直接抛出异常会导致整个查询失败静默吞掉异常可能导致业务逻辑错误。一个折中的方案是记录错误日志并将该字段值设为null或一个特定的错误标识同时触发告警让开发者能及时发现数据或密钥问题。性能考量解密操作涉及反射和密码学计算如果一次查询返回成千上万条记录每个记录又有多个加密字段可能会对性能产生影响。可以考虑对解密过程进行优化比如缓存Field对象、使用更高效的反射库如Spring的ReflectionUtils或者对于大批量导出等场景提供绕过自动解密的开关。4.3 处理复杂场景嵌套对象与类型处理器(TypeHandler)上面的实现假设了加密字段是实体类的直接String类型属性。但在实际项目中你可能会遇到更复杂的场景。场景一嵌套对象中的敏感字段例如User对象里有一个BankInfo类型的字段bankInfo而BankInfo对象里的cardNumber字段需要加密。public class User { private Long id; private String name; private BankInfo bankInfo; // 嵌套对象 } public class BankInfo { SensitiveData private String cardNumber; private String bankName; }对于这种情况我们需要修改encryptFields和decryptFields方法使其能够递归处理对象字段。当发现某个字段不是基本类型且不为null时递归调用encryptFields方法处理这个嵌套对象。场景二非String类型的敏感字段我们的注解和拦截器目前只处理了String类型。但如果敏感数据是BigDecimal金额或LocalDate生日呢一种思路是扩展SensitiveData注解支持指定序列化/反序列化方式或者在加密前将对象转换为String如JSON解密后再转换回来。但这会引入复杂性。一个更Mybatis风格的优雅解决方案是结合自定义类型处理器(TypeHandler)。你可以为需要加密的特定类型如EncryptedString创建一个TypeHandler。在TypeHandler的setParameter和getResult方法中实现加解密。然后在实体类中敏感字段的类型使用这个自定义类型。public class User { private Long id; // 使用自定义类型 private EncryptedString idCard; } // 在mybatis配置或字段上通过MappedTypes、MappedJdbcTypes指定TypeHandler这种方案将加解密逻辑完全封装在类型转换层与拦截器解耦更加清晰。但它的缺点是需要在实体类中使用特定的类型而不是通用的String。你可以根据项目的复杂度和团队偏好进行选择。对于大多数场景拦截器处理String类型已经足够。5. 常见问题与排查技巧实录在实际开发和上线过程中我踩过不少坑也总结了一些排查技巧。5.1 拦截器不生效的排查步骤这是最常见的问题。明明配置了拦截器但加解密就是没执行。检查拦截器是否被Spring管理/Mybatis配置加载Spring Boot项目确认拦截器类上有Component或其他Spring注解并且所在包在Spring的组件扫描路径下。可以启动时查看日志或通过ApplicationContext的getBean方法检查Bean是否存在。纯Mybatis项目检查mybatis-config.xml中plugins配置是否正确路径是否写对。确保配置文件被正确加载。检查Intercepts签名type必须是Mybatis的四大接口之一Executor.class,ParameterHandler.class,ResultSetHandler.class,StatementHandler.class。大小写、拼写不能错。method必须是目标接口中存在的方法名。例如ParameterHandler的setParameters。args必须是目标方法参数类型的Class数组。仔细核对比如PreparedStatement.class不能写成Statement.class。可以查看Mybatis源码确认方法签名。检查Mapper方法执行路径拦截器只对通过MybatisSqlSession执行的SQL生效。如果你在方法中直接使用了JdbcTemplate或者其他的数据库操作方式拦截器是不会触发的。确保你的操作增删改查是通过Mybatis的Mapper接口调用执行的。启用Mybatis日志 在application.yml中设置logging.level.com.your.mapper.packageDEBUG查看执行的SQL语句和参数。观察参数是否已经是密文对于插入或结果是否还是密文对于查询。这能帮你判断是加密没生效还是解密没生效。5.2 加解密过程中遇到的典型异常与处理异常现象可能原因排查与解决思路加密失败IllegalBlockSizeException / BadPaddingException1. 密钥长度与算法不匹配如AES-128需16字节密钥你用了15字节。2. 待加密文本编码问题。3. 加密模式/填充方式配置错误。1. 确认密钥字节长度正确。AES-128:16字节AES-192:24字节AES-256:32字节。2. 加密前统一使用UTF-8编码获取字节。3. 确认Cipher.getInstance(“AES/CBC/PKCS5Padding”)中的算法字符串正确。解密失败BadPaddingException1.密钥错误最常见。用于解密的密钥与加密时不同。2. 密文在存储或传输中被篡改或损坏。3. IV初始化向量不一致特别是在CBC模式下。1.核对密钥来源。确保加解密服务获取的是同一个密钥。检查环境变量、配置中心的值。2. 检查数据库字段长度是否足够Base64编码后的密文是否被截断。3. 确保加解密使用相同的IV。IV可以固定或随机生成后与密文一起存储前16字节为IV。字段值为null加解密拦截器未处理1. 拦截器逻辑中未对null值做判断。2. 实体类字段为基本类型如int无法为null但数据库值为NULL导致映射出错。1. 在加密/解密前先判断字段值是否为null或空字符串。2. 实体类中敏感字段建议使用包装类型Integer,String而非基本类型。批量插入/更新时只有第一条数据被加密拦截器中处理参数逻辑有误可能只处理了参数对象本身没有遍历其内部的集合。回顾processEncryption方法确保对Collection、Array、Map等类型的参数进行了递归或遍历处理。解密后字段值仍是密文1. 解密拦截器未生效参考5.1排查。2. 结果对象类型判断错误解密逻辑未执行到该对象。3. 字段名不匹配或反射访问失败。1. 在decryptFields方法开始处打日志确认方法被调用。2. 调试查看handleResultSets返回的result对象的具体类型。3. 检查SensitiveData注解是否加在了正确的字段上字段名是否拼写正确区分大小写。5.3 性能优化与生产环境注意事项反射性能拦截器中大量使用了反射Field.get/set。虽然单次操作开销不大但在高并发、大数据量场景下仍需关注。可以考虑使用缓存将Class与需要加密/解密的Field[]数组缓存起来避免每次拦截都通过getDeclaredFields()和遍历、判断注解。private static final MapClass?, ListField SENSITIVE_FIELD_CACHE new ConcurrentHashMap(); private ListField getSensitiveFields(Class? clazz) { return SENSITIVE_FIELD_CACHE.computeIfAbsent(clazz, key - Arrays.stream(clazz.getDeclaredFields()) .filter(field - field.isAnnotationPresent(SensitiveData.class)) .peek(field - field.setAccessible(true)) // 在这里一次性设置accessible .collect(Collectors.toList()) ); }密钥轮换与数据重加密为了安全密钥需要定期轮换。但旧密钥加密的数据需要用旧密钥解密。这引入了密钥版本管理问题。一个通用的做法是在密文中嵌入密钥版本号或密钥ID。例如将加密后的数据格式化为{keyId}:{cipherText}。加解密服务根据keyId去查找对应的密钥。这样新数据用新密钥加密旧数据仍可用旧密钥解密。定期有一个后台任务读取旧数据用旧密钥解密后再用新密钥加密完成数据重加密。模糊查询与索引失效这是数据加密带来的一个经典难题。一旦对数据如手机号、姓名加密后存储原本基于该字段的LIKE模糊查询和精确查询索引都将失效因为数据库存储的是无规律的密文。解决方案有业务侧妥协放弃模糊查询或改为先精确查询其他条件再在内存中解密后过滤数据量不能大。保留明文哈希额外存储一个字段保存敏感数据的哈希值如SHA256用于精确匹配查询。但哈希无法支持模糊查询。使用可搜索加密方案这是一个高级密码学领域如确定性加密同一明文始终加密成同一密文可以支持等值查询但会降低安全性。通常需要专业的密码学库支持不建议自行实现。历史数据迁移上线前数据库中已有大量明文历史数据。需要编写一个一次性迁移脚本遍历相关表读取明文调用与拦截器相同的加密逻辑进行加密再写回。务必注意迁移过程应在业务低峰期进行并做好完整的数据备份和回滚方案。迁移完成后需全面验证数据一致性。最后我个人在实际使用中的体会是这套“Mybatis拦截器注解”的方案在清晰度、维护性和开发效率上取得了很好的平衡。它成功地将安全关注点从业务代码中剥离让开发者能更专注于业务逻辑本身。最大的挑战往往不在于拦截器本身而在于密钥的安全管理和加密后带来的查询复杂度上升。因此在项目设计初期就需要和产品、DBA充分沟通明确哪些字段需要加密以及加密后对应的查询需求该如何满足这样才能让技术方案更好地服务于业务。
Mybatis拦截器+注解实现敏感数据自动加解密，告别业务代码侵入
1. 项目概述与核心价值最近在重构一个老的后台管理系统里面涉及到不少用户的身份证号、手机号、银行卡号这类敏感信息。之前这些数据都是明文存储在数据库里的每次代码里要存要查都得手动调用加解密工具类不仅代码里散落着各种AESUtil.encrypt(idCard)而且很容易遗漏一不留神就“裸奔”了。更头疼的是历史数据迁移也是个麻烦事。我就琢磨着能不能把这些加解密的逻辑从业务代码里彻底抽离出来让框架自动去干这个脏活累活。自然而然地就想到了Mybatis的拦截器。这玩意儿就像给SQL执行过程装了几个“监听器”我们可以在SQL执行前、参数设置时、结果集返回后这些关键节点进行拦截和加工。结合自定义注解我们可以优雅地标记出哪些实体类的字段是敏感数据。最终的目标是开发者在实体类字段上加个SensitiveData注解后续所有通过Mybatis进行的插入、更新操作这个字段的值会自动被加密后再入库而在查询时从数据库取出的密文又会自动解密成明文填充回实体对象。整个过程对业务代码完全透明开发者可以像操作普通字段一样读写这些敏感数据极大地提升了开发效率和系统安全性。这个方案特别适合那些对数据安全有要求但又不想让加解密逻辑侵入核心业务代码的场景。2. 整体架构设计与核心思路拆解2.1 为什么选择Mybatis拦截器注解方案面对敏感数据加解密的需求通常有几种常见的方案。最简单粗暴的当然是在业务层的Service里每次保存或查询前后手动调用加解密工具但这样代码侵入性太强重复劳动多容易出错。另一种思路是利用数据库本身的功能比如MySQL的AES_ENCRYPT/DECRYPT函数但这将加解密逻辑绑定在了具体的SQL语句或数据库视图上不够灵活且更换数据库成本高。还有像使用JPA的Converter注解或Hibernate的Type注解但这依赖于特定的ORM框架。相比之下Mybatis拦截器自定义注解的方案优势明显。首先Mybatis作为一款半自动化的ORM框架其插件拦截器机制非常强大且标准允许我们在Executor、ParameterHandler、ResultSetHandler、StatementHandler这四个核心组件的执行过程中插入自定义逻辑。其次这个方案与业务代码完全解耦。加解密作为一个横切关注点被独立到了拦截器中实体类仅通过一个声明式的注解来标识敏感字段符合“约定优于配置”的原则。最后它的灵活性极高。我们可以自由选择加密算法如AES、SM4、密钥管理方式并且可以精细控制拦截的SQL类型INSERT、UPDATE、SELECT甚至可以为不同的注解配置不同的加密策略。2.2 核心组件与执行流程整个方案主要包含三个核心组件它们协同工作形成一个完整的自动加解密管道。自定义注解 (SensitiveData)这是一个标记注解它的唯一作用就是贴在实体类的字段上声明“这个字段需要被自动加解密”。注解本身可以非常简洁暂时不需要任何属性。未来如果需要扩展比如支持不同的加密算法可以增加一个algorithm()属性。加密拦截器 (EncryptInterceptor)它主要拦截ParameterHandler。当Mybatis准备将Java实体对象即Mapper方法的参数设置到SQL语句的占位符?时ParameterHandler的setParameters方法会被调用。我们的加密拦截器就在此刻介入遍历实体对象的所有字段检查是否带有SensitiveData注解。如果发现则获取该字段的原始值明文调用加密服务进行加密然后再通过反射将加密后的密文设置回该字段或一个临时的副本中确保最终传入数据库的是密文。解密拦截器 (DecryptInterceptor)它主要拦截ResultSetHandler。当Mybatis从数据库执行查询拿到ResultSet结果集并准备将其映射回Java实体对象时ResultSetHandler的handleResultSets方法会被调用。解密拦截器在此刻介入在Mybatis完成默认的结果集映射之后遍历返回的实体对象查找带有SensitiveData注解的字段获取其在数据库中的值密文调用解密服务进行解密最后通过反射将解密后的明文设置回对象字段。整个执行流程对于一次插入操作是这样的Mybatis Mapper调用-加密拦截器工作将实体中注解字段加密-执行SQL密文入库。对于一次查询操作则是执行SQL取出密文-Mybatis默认映射对象字段值为密文-解密拦截器工作将对象中注解字段解密-返回明文对象给业务层。注意这里有一个关键细节需要处理。加密拦截器直接修改了ParameterHandler要处理的原始参数对象。为了避免对后续流程或同一对象在其他地方的使用造成不可预期的影响一个更稳健的做法是在拦截器内部创建参数对象的深拷贝或使用MetaObject工具进行安全的值替换。本文为简化核心逻辑先采用直接修改的方式但在“常见问题”章节会详细讨论更安全的实现。3. 核心细节解析与实操要点3.1 自定义注解的设计与使用自定义注解SensitiveData的设计追求极简和可扩展性。目前它只是一个标记。import java.lang.annotation.*; /** * 敏感数据注解。 * 被此注解标记的字段在通过Mybatis持久化时会被自动加密查询时会被自动解密。 */ Documented Retention(RetentionPolicy.RUNTIME) // 运行时保留这是关键 Target(ElementType.FIELD) // 只能用在字段上 public interface SensitiveData { // 未来可扩展属性例如 // String algorithm() default AES; // String keyId() default default; }关键点解析Retention(RetentionPolicy.RUNTIME)这是生命线。必须设置为RUNTIME注解信息才会在JVM运行期间保留这样我们的拦截器才能通过反射机制在运行时获取到它。如果设置为CLASS或SOURCE运行时是拿不到注解信息的。Target(ElementType.FIELD)明确指定该注解只能用于类的字段成员变量上符合我们的设计意图。在实体类中的使用示例public class User { private Long id; private String name; SensitiveData private String idCard; // 身份证号 SensitiveData private String mobile; // 手机号 private String email; // ... getters and setters }使用起来非常简单直观。未来如果业务复杂比如银行卡号需要用更强的SM4加密而手机号用AES我们就可以扩展注解通过SensitiveData(algorithm SM4)来指定。3.2 Mybatis拦截器的实现原理与注册Mybatis拦截器需要实现org.apache.ibatis.plugin.Interceptor接口。这个接口有三个方法intercept(Invocation invocation)这是核心方法在这里编写你的拦截逻辑。plugin(Object target)Mybatis会用这个方法来包装目标对象生成代理对象。通常直接使用Plugin.wrap(target, this)即可。setProperties(Properties properties)可以用来接收拦截器配置的参数。但更关键的是Intercepts和Signature注解它们用来声明你的拦截器要拦截哪个Mybatis组件、哪个方法。加密拦截器签名示例Intercepts({ Signature(type ParameterHandler.class, // 拦截参数处理器 method setParameters, // 拦截设置参数的方法 args {PreparedStatement.class}) // 该方法参数列表 }) Component // 如果使用Spring可加此注解方便管理 public class EncryptInterceptor implements Interceptor { // ... 具体实现 }解密拦截器签名示例Intercepts({ Signature(type ResultSetHandler.class, // 拦截结果集处理器 method handleResultSets, // 拦截处理结果集的方法 args {Statement.class}) // 该方法参数列表 }) Component public class DecryptInterceptor implements Interceptor { // ... 具体实现 }拦截器的注册 如果你使用纯Mybatis需要在mybatis-config.xml中配置plugins plugin interceptorcom.yourpackage.interceptor.EncryptInterceptor/ plugin interceptorcom.yourpackage.interceptor.DecryptInterceptor/ /plugins如果你使用Spring Boot通常更简单只需要将拦截器类声明为Spring Bean比如加上Component注解Mybatis-Spring-Boot-Starter在启动时会自动发现并注册这些实现了Interceptor接口的Bean。3.3 加解密服务的设计与密钥管理加解密逻辑应该被抽象成一个独立的服务例如SensitiveDataCryptoService然后在拦截器中注入并使用它。这样做有利于算法可替换今天用AES明天想换国密SM4只需修改这个服务的实现。密钥管理集中化密钥的获取、存储、轮换等复杂逻辑被封装在此。便于测试可以轻松Mock这个服务进行单元测试。一个简单的AES加密服务实现示例Service public class AesCryptoService implements SensitiveDataCryptoService { private static final String ALGORITHM AES; private static final String TRANSFORMATION AES/CBC/PKCS5Padding; // 使用CBC模式需要IV private SecretKeySpec secretKey; private IvParameterSpec iv; PostConstruct public void init() { // !!!警告以下仅为示例生产环境绝不能将密钥硬编码在代码中!!! String secretKeyStr Your32ByteLongSecretKey123!!; // 32字节 for AES-256 String ivStr Your16ByteLongIV!!; // 16字节 this.secretKey new SecretKeySpec(secretKeyStr.getBytes(StandardCharsets.UTF_8), ALGORITHM); this.iv new IvParameterSpec(ivStr.getBytes(StandardCharsets.UTF_8)); } Override public String encrypt(String plainText) { try { Cipher cipher Cipher.getInstance(TRANSFORMATION); cipher.init(Cipher.ENCRYPT_MODE, secretKey, iv); byte[] encryptedBytes cipher.doFinal(plainText.getBytes(StandardCharsets.UTF_8)); return Base64.getEncoder().encodeToString(encryptedBytes); // 输出Base64字符串便于存储 } catch (Exception e) { throw new RuntimeException(加密失败, e); } } Override public String decrypt(String cipherText) { try { Cipher cipher Cipher.getInstance(TRANSFORMATION); cipher.init(Cipher.DECRYPT_MODE, secretKey, iv); byte[] decodedBytes Base64.getDecoder().decode(cipherText); byte[] decryptedBytes cipher.doFinal(decodedBytes); return new String(decryptedBytes, StandardCharsets.UTF_8); } catch (Exception e) { throw new RuntimeException(解密失败, e); } } }生产环境密钥管理要点非常重要绝对禁止硬编码像上面示例那样把密钥写在代码里是严重的安全漏洞。推荐方案环境变量/启动参数通过-D参数或系统环境变量传入。配置中心从Apollo、Nacos等配置中心获取支持动态刷新和权限控制。密钥管理服务(KMS)使用云服务商如阿里云KMS、AWS KMS或自建的HashiCorp Vault来管理密钥实现密钥的安全生成、存储、轮换和访问审计。分层加密使用一个主密钥Master Key加密数据密钥Data Key数据密钥再加密实际数据。主密钥妥善保管数据密钥可与密文一起存储。4. 实操过程与核心环节实现4.1 加密拦截器(EncryptInterceptor)的完整实现加密拦截器的核心任务是在SQL参数设置前找到并加密所有标记了SensitiveData的字段。Intercepts({ Signature(type ParameterHandler.class, method setParameters, args {PreparedStatement.class}) }) Component Slf4j public class EncryptInterceptor implements Interceptor { Autowired private SensitiveDataCryptoService cryptoService; Override public Object intercept(Invocation invocation) throws Throwable { // 1. 获取被拦截的目标对象即ParameterHandler ParameterHandler parameterHandler (ParameterHandler) invocation.getTarget(); // 2. 通过MetaObject工具类方便地操作对象的属性 // 这里获取的是Mapper方法传入的原始参数对象 MetaObject metaObject SystemMetaObject.forObject(parameterHandler.getParameterObject()); // 3. 获取参数对象的类型。可能是单个实体也可能是Map、集合等。 Object originalParameter metaObject.getOriginalObject(); // 4. 处理加密逻辑 processEncryption(originalParameter); // 5. 继续执行原方法即设置参数到PreparedStatement return invocation.proceed(); } private void processEncryption(Object parameter) { if (parameter null) { return; } // 处理单个实体对象 if (!isCollectionOrMap(parameter)) { encryptFields(parameter); return; } // 处理集合如ListUser或数组 if (parameter instanceof Collection) { for (Object item : (Collection?) parameter) { encryptFields(item); } } // 处理Map通常用于Param注解传递多个参数 else if (parameter instanceof Map) { Map?, ? paramMap (Map?, ?) parameter; for (Object value : paramMap.values()) { if (value ! null !isBasicType(value.getClass())) { encryptFields(value); } } } } private void encryptFields(Object object) { if (object null) { return; } Class? clazz object.getClass(); // 遍历该类的所有字段包括父类按需 for (Field field : clazz.getDeclaredFields()) { // 检查字段是否被SensitiveData注解标记 if (field.isAnnotationPresent(SensitiveData.class)) { field.setAccessible(true); // 允许访问私有字段 try { Object originalValue field.get(object); if (originalValue instanceof String) { String plainText (String) originalValue; if (StringUtils.isNotBlank(plainText)) { // 调用加密服务进行加密 String cipherText cryptoService.encrypt(plainText); // 将加密后的值设置回字段 field.set(object, cipherText); log.debug(字段 [{}] 已加密明文{} 密文{}, field.getName(), plainText, cipherText); } } else { log.warn(SensitiveData注解只能用于String类型字段字段 {} 类型为 {}, field.getName(), field.getType()); } } catch (IllegalAccessException e) { log.error(加密字段访问失败: {}, field.getName(), e); } } } } // 辅助方法判断是否为集合或Map private boolean isCollectionOrMap(Object obj) { return obj instanceof Collection || obj instanceof Map || obj.getClass().isArray(); } // 辅助方法判断是否为基本类型或包装类、String等 private boolean isBasicType(Class? clazz) { return clazz.isPrimitive() || clazz String.class || clazz Integer.class || clazz Long.class || // ... 其他包装类型 Number.class.isAssignableFrom(clazz) || clazz Boolean.class || clazz Date.class; } Override public Object plugin(Object target) { return Plugin.wrap(target, this); } Override public void setProperties(Properties properties) { // 可以从mybatis配置中读取属性例如加密算法的选择 } }实操心得MetaObject是Mybatis提供的一个非常强大的反射工具类用它来操作对象属性比直接用Java原生反射更安全、更方便它能很好地处理对象为null、获取泛型属性等情况。对参数类型的判断单个对象、集合、Map至关重要。因为Mapper方法的参数可能是User可能是ListUser也可能是Param注解包装的Map。必须覆盖所有这些情况否则会出现部分数据未加密的漏洞。加密前判断字段值是否为空或空白字符串很有必要可以避免不必要的加密操作和潜在错误。4.2 解密拦截器(DecryptInterceptor)的完整实现解密拦截器在结果集映射完成后执行将对象中的密文字段解密。Intercepts({ Signature(type ResultSetHandler.class, method handleResultSets, args {Statement.class}) }) Component Slf4j public class DecryptInterceptor implements Interceptor { Autowired private SensitiveDataCryptoService cryptoService; Override public Object intercept(Invocation invocation) throws Throwable { // 1. 先执行原方法让Mybatis完成默认的结果集映射 // 此时返回的ListObject中对象的敏感字段值还是数据库中的密文 Object result invocation.proceed(); // 2. 如果查询结果为空直接返回 if (result null) { return null; } // 3. 处理解密逻辑 processDecryption(result); // 4. 返回解密后的结果 return result; } SuppressWarnings(unchecked) private void processDecryption(Object result) { // handleResultSets可能返回单个对象也可能是List if (result instanceof List) { ListObject resultList (ListObject) result; for (Object item : resultList) { decryptFields(item); } } else { // 返回单个对象的情况比如selectOne decryptFields(result); } } private void decryptFields(Object object) { if (object null || isBasicType(object.getClass())) { return; } Class? clazz object.getClass(); for (Field field : clazz.getDeclaredFields()) { if (field.isAnnotationPresent(SensitiveData.class)) { field.setAccessible(true); try { Object currentValue field.get(object); if (currentValue instanceof String) { String cipherText (String) currentValue; if (StringUtils.isNotBlank(cipherText)) { // 调用解密服务进行解密 String plainText cryptoService.decrypt(cipherText); field.set(object, plainText); log.debug(字段 [{}] 已解密密文{} 明文{}, field.getName(), cipherText, plainText); } } } catch (IllegalAccessException e) { log.error(解密字段访问失败: {}, field.getName(), e); } catch (Exception e) { // 解密过程可能出错如密文被篡改、密钥错误 log.error(字段 [{}] 解密失败密文值: {}, field.getName(), field.get(object), e); // 根据业务需求决定抛出异常、置空或保留密文 // field.set(object, null); } } } } // ... plugin和setProperties方法同上以及isBasicType辅助方法 }关键点与避坑指南执行顺序一定要先invocation.proceed()让Mybatis把数据库数据映射到对象里我们再进行解密。顺序反了就没数据可解了。结果类型判断handleResultSets方法返回的是Object但它可能是List查询多条也可能是单个实体对象查询单条即使接口声明返回ListMybatis内部也可能优化。所以必须做类型判断。解密异常处理解密过程可能失败例如密文格式错误、密钥不匹配。这里需要谨慎处理。直接抛出异常会导致整个查询失败静默吞掉异常可能导致业务逻辑错误。一个折中的方案是记录错误日志并将该字段值设为null或一个特定的错误标识同时触发告警让开发者能及时发现数据或密钥问题。性能考量解密操作涉及反射和密码学计算如果一次查询返回成千上万条记录每个记录又有多个加密字段可能会对性能产生影响。可以考虑对解密过程进行优化比如缓存Field对象、使用更高效的反射库如Spring的ReflectionUtils或者对于大批量导出等场景提供绕过自动解密的开关。4.3 处理复杂场景嵌套对象与类型处理器(TypeHandler)上面的实现假设了加密字段是实体类的直接String类型属性。但在实际项目中你可能会遇到更复杂的场景。场景一嵌套对象中的敏感字段例如User对象里有一个BankInfo类型的字段bankInfo而BankInfo对象里的cardNumber字段需要加密。public class User { private Long id; private String name; private BankInfo bankInfo; // 嵌套对象 } public class BankInfo { SensitiveData private String cardNumber; private String bankName; }对于这种情况我们需要修改encryptFields和decryptFields方法使其能够递归处理对象字段。当发现某个字段不是基本类型且不为null时递归调用encryptFields方法处理这个嵌套对象。场景二非String类型的敏感字段我们的注解和拦截器目前只处理了String类型。但如果敏感数据是BigDecimal金额或LocalDate生日呢一种思路是扩展SensitiveData注解支持指定序列化/反序列化方式或者在加密前将对象转换为String如JSON解密后再转换回来。但这会引入复杂性。一个更Mybatis风格的优雅解决方案是结合自定义类型处理器(TypeHandler)。你可以为需要加密的特定类型如EncryptedString创建一个TypeHandler。在TypeHandler的setParameter和getResult方法中实现加解密。然后在实体类中敏感字段的类型使用这个自定义类型。public class User { private Long id; // 使用自定义类型 private EncryptedString idCard; } // 在mybatis配置或字段上通过MappedTypes、MappedJdbcTypes指定TypeHandler这种方案将加解密逻辑完全封装在类型转换层与拦截器解耦更加清晰。但它的缺点是需要在实体类中使用特定的类型而不是通用的String。你可以根据项目的复杂度和团队偏好进行选择。对于大多数场景拦截器处理String类型已经足够。5. 常见问题与排查技巧实录在实际开发和上线过程中我踩过不少坑也总结了一些排查技巧。5.1 拦截器不生效的排查步骤这是最常见的问题。明明配置了拦截器但加解密就是没执行。检查拦截器是否被Spring管理/Mybatis配置加载Spring Boot项目确认拦截器类上有Component或其他Spring注解并且所在包在Spring的组件扫描路径下。可以启动时查看日志或通过ApplicationContext的getBean方法检查Bean是否存在。纯Mybatis项目检查mybatis-config.xml中plugins配置是否正确路径是否写对。确保配置文件被正确加载。检查Intercepts签名type必须是Mybatis的四大接口之一Executor.class,ParameterHandler.class,ResultSetHandler.class,StatementHandler.class。大小写、拼写不能错。method必须是目标接口中存在的方法名。例如ParameterHandler的setParameters。args必须是目标方法参数类型的Class数组。仔细核对比如PreparedStatement.class不能写成Statement.class。可以查看Mybatis源码确认方法签名。检查Mapper方法执行路径拦截器只对通过MybatisSqlSession执行的SQL生效。如果你在方法中直接使用了JdbcTemplate或者其他的数据库操作方式拦截器是不会触发的。确保你的操作增删改查是通过Mybatis的Mapper接口调用执行的。启用Mybatis日志 在application.yml中设置logging.level.com.your.mapper.packageDEBUG查看执行的SQL语句和参数。观察参数是否已经是密文对于插入或结果是否还是密文对于查询。这能帮你判断是加密没生效还是解密没生效。5.2 加解密过程中遇到的典型异常与处理异常现象可能原因排查与解决思路加密失败IllegalBlockSizeException / BadPaddingException1. 密钥长度与算法不匹配如AES-128需16字节密钥你用了15字节。2. 待加密文本编码问题。3. 加密模式/填充方式配置错误。1. 确认密钥字节长度正确。AES-128:16字节AES-192:24字节AES-256:32字节。2. 加密前统一使用UTF-8编码获取字节。3. 确认Cipher.getInstance(“AES/CBC/PKCS5Padding”)中的算法字符串正确。解密失败BadPaddingException1.密钥错误最常见。用于解密的密钥与加密时不同。2. 密文在存储或传输中被篡改或损坏。3. IV初始化向量不一致特别是在CBC模式下。1.核对密钥来源。确保加解密服务获取的是同一个密钥。检查环境变量、配置中心的值。2. 检查数据库字段长度是否足够Base64编码后的密文是否被截断。3. 确保加解密使用相同的IV。IV可以固定或随机生成后与密文一起存储前16字节为IV。字段值为null加解密拦截器未处理1. 拦截器逻辑中未对null值做判断。2. 实体类字段为基本类型如int无法为null但数据库值为NULL导致映射出错。1. 在加密/解密前先判断字段值是否为null或空字符串。2. 实体类中敏感字段建议使用包装类型Integer,String而非基本类型。批量插入/更新时只有第一条数据被加密拦截器中处理参数逻辑有误可能只处理了参数对象本身没有遍历其内部的集合。回顾processEncryption方法确保对Collection、Array、Map等类型的参数进行了递归或遍历处理。解密后字段值仍是密文1. 解密拦截器未生效参考5.1排查。2. 结果对象类型判断错误解密逻辑未执行到该对象。3. 字段名不匹配或反射访问失败。1. 在decryptFields方法开始处打日志确认方法被调用。2. 调试查看handleResultSets返回的result对象的具体类型。3. 检查SensitiveData注解是否加在了正确的字段上字段名是否拼写正确区分大小写。5.3 性能优化与生产环境注意事项反射性能拦截器中大量使用了反射Field.get/set。虽然单次操作开销不大但在高并发、大数据量场景下仍需关注。可以考虑使用缓存将Class与需要加密/解密的Field[]数组缓存起来避免每次拦截都通过getDeclaredFields()和遍历、判断注解。private static final MapClass?, ListField SENSITIVE_FIELD_CACHE new ConcurrentHashMap(); private ListField getSensitiveFields(Class? clazz) { return SENSITIVE_FIELD_CACHE.computeIfAbsent(clazz, key - Arrays.stream(clazz.getDeclaredFields()) .filter(field - field.isAnnotationPresent(SensitiveData.class)) .peek(field - field.setAccessible(true)) // 在这里一次性设置accessible .collect(Collectors.toList()) ); }密钥轮换与数据重加密为了安全密钥需要定期轮换。但旧密钥加密的数据需要用旧密钥解密。这引入了密钥版本管理问题。一个通用的做法是在密文中嵌入密钥版本号或密钥ID。例如将加密后的数据格式化为{keyId}:{cipherText}。加解密服务根据keyId去查找对应的密钥。这样新数据用新密钥加密旧数据仍可用旧密钥解密。定期有一个后台任务读取旧数据用旧密钥解密后再用新密钥加密完成数据重加密。模糊查询与索引失效这是数据加密带来的一个经典难题。一旦对数据如手机号、姓名加密后存储原本基于该字段的LIKE模糊查询和精确查询索引都将失效因为数据库存储的是无规律的密文。解决方案有业务侧妥协放弃模糊查询或改为先精确查询其他条件再在内存中解密后过滤数据量不能大。保留明文哈希额外存储一个字段保存敏感数据的哈希值如SHA256用于精确匹配查询。但哈希无法支持模糊查询。使用可搜索加密方案这是一个高级密码学领域如确定性加密同一明文始终加密成同一密文可以支持等值查询但会降低安全性。通常需要专业的密码学库支持不建议自行实现。历史数据迁移上线前数据库中已有大量明文历史数据。需要编写一个一次性迁移脚本遍历相关表读取明文调用与拦截器相同的加密逻辑进行加密再写回。务必注意迁移过程应在业务低峰期进行并做好完整的数据备份和回滚方案。迁移完成后需全面验证数据一致性。最后我个人在实际使用中的体会是这套“Mybatis拦截器注解”的方案在清晰度、维护性和开发效率上取得了很好的平衡。它成功地将安全关注点从业务代码中剥离让开发者能更专注于业务逻辑本身。最大的挑战往往不在于拦截器本身而在于密钥的安全管理和加密后带来的查询复杂度上升。因此在项目设计初期就需要和产品、DBA充分沟通明确哪些字段需要加密以及加密后对应的查询需求该如何满足这样才能让技术方案更好地服务于业务。
