独立Java应用程序中的PostgreSQL安全连接

Question

我正在创建独立的应用程序（基于Swing的GUI）。 就像密码持有人一样（例如，用户指定站点的登录名/密码）

它连接到远程psql数据库。 与数据库的连接存储在db.properties文件中。

我想要的是：

1. 我该如何“隐藏”将取消归档.jar软件包的用户的数据库连接？ （在最坏的情况下，至少是连接用户的密码）
2. 有什么方法可以防止反编译/调试文件？

Answer 1

我建议将数据库凭证存储在环境变量中，并在值中读取源代码。

这样可以避免将凭据存储在源代码管理或二进制文件中，但可以轻松配置/更改机密。

这已成为“ 12要素应用程序”中包括的最佳实践，并模拟了Heroku和其他托管服务管理应用程序级别配置的方式。