用户私密信息如何脱敏展示

选择的方案

在Spring Boot项目中实现敏感数据脱敏，可以通过不同的方法和技术来保护敏感信息。以下是一些常见的实现方式：

1. 使用自定义注解实现脱敏

可以通过创建自定义注解来标记需要脱敏的字段，然后在序列化对象时自动对这些字段进行脱敏处理。这种方法的好处是易于使用，且不侵入业务代码

• 定义注解：首先定义一个注解，用于标记需要脱敏的字段
• 实现脱敏逻辑：通过AOP（面向切面编程）或自定义序列化器来拦截对象的序列化过程，对标有自定义注解的字段进行脱敏处理

2. AOP（面向切面编程）

AOP允许你对方法调用进行拦截，可以在返回数据前对其进行脱敏处理。你可以定义一个切面（Aspect），在这个切面中实现脱敏逻辑

• 定义切面：创建一个切面类，使用@Aspect注解。
• 拦截返回值：使用@AfterReturning注解来拦截方法返回值，然后对返回值进行检查和脱敏处理

3. 自定义序列化器

对于使用Jackson等库序列化对象为JSON的场景，可以通过自定义序列化器来实现字段的脱敏

• 自定义Jackson序列化器：继承StdSerializer<T>类来创建自己的序列化器，并在其中实现脱敏逻辑
• 注册序列化器：通过在Spring Boot的配置中注册这个自定义序列化器，使其生效

4. 利用Hibernate Validator

如果使用Hibernate Validator进行数据校验，可以结合自定义注解和校验器来实现在校验阶段的脱敏

• 定义校验注解：创建一个自定义的校验注解
• 实现校验逻辑：编写一个校验器，实现ConstraintValidator接口，在校验方法中添加脱敏逻辑

其实这四种各自都有各自的问题

• 自定义+AOP 由于AOP需要借助Spirng环境，就脱敏功能而言，使用AOP的方式确实显得过于笨重，还要考虑到抽取成组件，AOP不太适合
• 自定义序列化 不少人使用的是此方案，事实上此方案也确实可用。但就是考虑到项目中json序列化有没有进行定制，jackson有没有被替换掉
• Hibernate Validator 应用场景有限，并不是所有的实体都需要Hibernate Validator

实现的方案

其实从实体类VO入手，实体类默认使用了@Data 注解，不需要我们手动再写set/get方法，而对象的序列化以及json的转化其实都需要调用set/get方法，那么我们可以利用这个特点自己来显示指定get方法，来实现脱敏逻辑。

以购票人列表信息展示为例

com.damai.vo.TicketUserVo

@Data
@ApiModel(value="TicketUserVo", description ="购票人数据")
public class TicketUserVo implements Serializable {

    private static final long serialVersionUID = 1L;
    
    @ApiModelProperty(name ="id", dataType ="Long", value ="购票人id")
    private Long id;
    
    @ApiModelProperty(name ="userId", dataType ="Long", value ="用户id")
    private Long userId;
    
    @ApiModelProperty(name ="relName", dataType ="String", value ="用户真实名字")
    private String relName;
    
    @ApiModelProperty(name ="idType", dataType ="Integer", value ="证件类型 1:身份证 2:港澳台居民居住证 3:港澳居民来往内地通行证 4:台湾居民来往内地通行证 5:护照 6:外国人永久居住证")
    private Integer idType;
    
    @ApiModelProperty(name ="idNumber", dataType ="String", value ="证件号码")
    private String idNumber;
    
    public String getRelName() {
        if (StringUtil.isNotEmpty(relName)) {
            return StrUtil.hide(relName, 0, 1);
        }
        return relName;
    }
    
    public String getIdNumber() {
        if (StringUtil.isNotEmpty(idNumber)) {
            return DesensitizedUtil.idCardNum(idNumber, 4, 4);
        }else {
            return idNumber;
        }
    }
}

在真实名字和证件号码的属性上，指定了get方法，使用了hutool提供的工具类，来实现脱敏。