Как скрыть пароль в классе из библиотеки

Как скрыть пароль в классе из библиотеки

Это важная задача безопасности. Пароли, API ключи и другие секреты никогда не должны быть видны в исходном коде или выводе отладки.

Проблема

// ОПАСНО - пароль видно в логах и toString()
public class DatabaseConfig {
    private String username;
    private String password;  // ВИДНО!
    
    @Override
    public String toString() {
        return "DatabaseConfig{" +
                "username='" + username + '\'' +
                ", password='" + password + '\'' +  // ОПАСНО!
                '}';
    }
}

Если логировать этот объект или он вывалится в ошибку, пароль будет скомпрометирован.

Решение 1: Переопределить toString() без пароля

public class DatabaseConfig {
    private String username;
    private String password;
    
    @Override
    public String toString() {
        return "DatabaseConfig{" +
                "username='" + username + '\'' +
                ", password='***'" +  // Скрыли пароль
                '}';
    }
}

// Использование
DatabaseConfig config = new DatabaseConfig("admin", "secret123");
logger.info(config.toString());
// Вывод: DatabaseConfig{username='admin', password='***'}

Решение 2: Lombok с @ToString.Exclude

Если используешь Lombok, исключи конфиденциальные поля из toString():

import lombok.ToString;
import lombok.Data;

@Data
@ToString(exclude = "password")  // Исключаем пароль
public class DatabaseConfig {
    private String username;
    private String password;
}

// Альтернативно (на каждом поле)
@Data
public class DatabaseConfig {
    private String username;
    
    @ToString.Exclude  // Не включать в toString()
    private String password;
}

// Использование
DatabaseConfig config = new DatabaseConfig("admin", "secret123");
logger.info(config.toString());
// Вывод: DatabaseConfig(username=admin)

Решение 3: Jackson JSON серializация

Если класс из сторонней библиотеки и его toString() выводится в JSON:

import com.fasterxml.jackson.annotation.JsonIgnore;
import com.fasterxml.jackson.annotation.JsonProperty;

public class ApiCredentials {
    private String apiKey;
    
    @JsonIgnore  // Не сериализуется в JSON
    private String secretKey;
    
    public String getSecretKey() {
        return secretKey;
    }
    
    public void setSecretKey(String secretKey) {
        this.secretKey = secretKey;
    }
}

// Использование
ApiCredentials creds = new ApiCredentials("key", "secret");
String json = objectMapper.writeValueAsString(creds);
// Вывод: {"apiKey":"key"}
// secretKey скрыт!

Решение 4: Custom Jackson Serializer

Для класса из библиотеки, который нельзя изменить:

import com.fasterxml.jackson.core.JsonGenerator;
import com.fasterxml.jackson.databind.JsonSerializer;
import com.fasterxml.jackson.databind.SerializerProvider;

public class CredentialsSerializer extends JsonSerializer<ApiCredentials> {
    @Override
    public void serialize(
        ApiCredentials value, 
        JsonGenerator gen, 
        SerializerProvider provider
    ) throws IOException {
        gen.writeStartObject();
        gen.writeStringField("apiKey", value.getApiKey());
        gen.writeStringField("secretKey", "***");  // Маскируем
        gen.writeEndObject();
    }
}

// Применяем сериализатор
@JsonSerialize(using = CredentialsSerializer.class)
public class ApiCredentials { ... }

Решение 5: Wrapper класс (лучше всего для библиотек)

Лучший способ, если не можешь изменить класс из библиотеки:

public class SecureCredentials {
    private final String username;
    private final String password;  // private final
    
    public SecureCredentials(String username, String password) {
        this.username = username;
        this.password = password;
    }
    
    public String getUsername() {
        return username;
    }
    
    public String getPassword() {
        return password;
    }
    
    @Override
    public String toString() {
        return "SecureCredentials{" +
                "username='" + username + '\'' +
                ", password='***'" +  // Скрыто
                '}';
    }
    
    @Override
    public boolean equals(Object o) {
        // Никогда не сравнивай пароли по значению
        if (!(o instanceof SecureCredentials)) return false;
        SecureCredentials that = (SecureCredentials) o;
        return Objects.equals(username, that.username);
        // password не сравниваем!
    }
    
    @Override
    public int hashCode() {
        // Не используй пароль в hashCode
        return Objects.hash(username);
    }
}

Решение 6: Использование SecretKey (Java Security)

Для криптографических ключей используй специальный класс:

import javax.crypto.SecretKey;
import javax.crypto.spec.SecretKeySpec;

public class EncryptedConfig {
    private final String username;
    private final SecretKey apiKey;  // SecretKey не имеет toString
    
    public EncryptedConfig(String username, byte[] keyBytes) {
        this.username = username;
        this.apiKey = new SecretKeySpec(
            keyBytes, 
            0, 
            keyBytes.length, 
            "AES"
        );
    }
    
    public SecretKey getApiKey() {
        return apiKey;
    }
    
    @Override
    public String toString() {
        // SecretKey.toString() не выводит значение
        return "EncryptedConfig{" +
                "username='" + username + '\'' +
                ", apiKey=" + apiKey +  // Безопасно!
                '}';
    }
}

// Использование
byte[] keyBytes = Base64.getDecoder().decode("base64EncodedKey");
EncryptedConfig config = new EncryptedConfig("admin", keyBytes);
logger.info(config.toString());
// Безопасный вывод

Решение 7: Проксирование и логирование

Исользуй логирование только где необходимо:

public class SecureLogger {
    private static final Logger logger = LoggerFactory.getLogger(
        SecureLogger.class
    );
    
    public static void logConfig(DatabaseConfig config) {
        // Логируем только безопасные данные
        logger.info(
            "Config loaded: username={}",
            config.getUsername()
            // НЕ логируем пароль!
        );
    }
}

// Использование
DatabaseConfig config = loadConfig();
SecureLogger.logConfig(config);  // Безопасное логирование

Best Practices

1. Никогда не логируй пароли — даже если думаешь, что это debug код
2. Используй @ToString.Exclude (Lombok) на всех конфиденциальных полях
3. Переопределяй toString() с маскированием в критичных классах
4. Используй environment переменные для паролей (не хардкод в коде)
5. Не коммитъ secrets в Git — используй .env файлы
6. Для библиотечных классов создавай wrapper'ы с безопасным toString()
7. Используй SecretKey для криптографических ключей
8. Избегай String для паролей — используй char[] и обнуляй после использования

Безопасная работа с паролями

// НЕПРАВИЛЬНО - String хранит пароль в памяти
String password = "myPassword";
// String неиммутабелен, и пароль может остаться в памяти

// ПРАВИЛЬНО - char[] которой потом обнуляем
char[] password = "myPassword".toCharArray();
try {
    // Используем пароль
    authenticateUser(password);
} finally {
    // Обнуляем пароль из памяти
    Arrays.fill(password, '\0');
}

Эти подходы гарантируют, что конфиденциальные данные не будут случайно выведены в логи или ошибки.