hibernate数据源安全管理

数据库的安全访问是很重要的事情。如果搭建一个web应用或者application需要访问数据库的话，如果把数据库的用户名和密码直接放在hibernate的配置文件当中，那么用户很容易或者密码。如果限制这个密码文件的访问，可能调试问题会很麻烦。

 

1。对于web应用，采用JNDI的方法配置数据库参数可以避免代码中含有数据库的连接信息。参见http://tomcat.apache.org/tomcat-6.0-doc/jndi-resources-howto.html

它的数据源tomcat默认使用dbcp connection pool。如果希望自己对数据库的用户名和密码进行加密，可以参照里面的方法写一个org.apache.tomcat.dbcp.dbcp.BasicDataSourceFactory的子类，对密码加密后再传递出来，防止密码被直接看到。此外，要把密钥文件做好安全限制。

web应用如果使用spring框架的话，就不需要hibernate的配置文件，这时一般采用dataSource配置，可以自定义dataSource，实现加密的目的。

 

2。对于application应用，数据库的连接可能使用jdbc或者连接池如dbcp, c3p0, proxypool, 这样的数据源可以通过hibernate的配置文件进行。如果要自己进行扩展加密的话，就需要继承org.hibernate.connection.ConnectionProvider。通过配置：

＜property name="connection.provider_class"＞
cn.MyConnProvider＜/property＞