一、背景与问题
SpringBoot项目打包为Jar包后，字节码极易通过JD-GUI等工具反编译得到近似源码的内容。当项目需要部署到客户服务器、开源交付或外部环境时，核心业务逻辑存在泄露风险。代码混淆通过将类名、方法名、字段名替换为无意义符号，打乱代码逻辑，大幅提升反编译的理解成本，是低成本保护代码的常用方案。
本文针对SpringBoot Maven项目，对比主流混淆插件并给出首选方案的完整实操配置。
二、环境与选型前提
本文示例基于以下环境：JDK 8、SpringBoot 2.x、Maven 3.6+；JDK 11+ 模块化环境需调整基础依赖路径。
目前Java生态主流的Maven代码混淆插件对比如下：
- ProGuard（开源首选）：GPL协议开源，Java生态最老牌的混淆工具，支持名称混淆、代码优化、体积压缩，SpringBoot适配方案最完善，资料丰富踩坑成本低。
- Allatori：非商业项目免费，商业需授权，混淆强度更高，支持控制流混淆，官方适配Spring，配置相对简单。
- yGuard：LGPL协议开源，基于ASM实现，轻量高效，混淆粒度细，但SpringBoot相关实践较少。
- DashO（商业）：企业级商业工具，支持多层混淆、运行时反调试、防篡改，适合高安全要求场景。
结论：绝大多数SpringBoot项目首选 proguard-maven-plugin，开源免费、生态成熟，能够满足大部分代码保护需求。
三、ProGuard 实操步骤
1. pom.xml 引入混淆插件
在项目 pom.xml 的 build/plugins 节点中添加插件，注意必须放在 spring-boot-maven-plugin 之前，否则会出现混淆后未重新打包的问题。
<plugin>
<groupId>com.github.wvengen</groupId>
<artifactId>proguard-maven-plugin</artifactId>
<version>2.5.3</version>
<executions>
<execution>
<phase>package</phase>
<goals>
<goal>proguard</goal>
</goals>
</execution>
</executions>
<configuration>
<!-- 指定ProGuard核心版本 -->
<proguardVersion>7.4.2</proguardVersion>
<!-- 输入的原始Jar包 -->
<injar>${project.build.finalName}.jar</injar>
<!-- 输出的混淆后Jar包 -->
<outjar>${project.build.finalName}-obfuscated.jar</outjar>
<!-- 混淆规则配置文件 -->
<proguardInclude>${project.basedir}/proguard.cfg</proguardInclude>
<!-- 解决Windows下命令行过长问题 -->
<putLibraryJarsInTempDir>true</putLibraryJarsInTempDir>
<!-- JDK基础依赖，JDK11+需替换为jmod路径 -->
<libs>
<lib>${java.home}/lib/rt.jar</lib>
<lib>${java.home}/lib/jce.jar</lib>
</libs>
</configuration>
</plugin>2. 编写混淆规则配置
在项目根目录创建 proguard.cfg 文件，核心原则是：混淆业务代码，保留Spring框架依赖的注解、类名和反射入口。
# 基础配置：关闭激进优化，避免Spring运行异常
-optimizations !code/simplification/arithmetic,!field/*,!class/merging/*
-allowaccessmodification
-dontpreverify
-dontshrink
-dontoptimize
保留所有注解，否则Spring Bean无法注入
-keepattributes Annotation
-keepattributes Signature
-keepattributes SourceFile,LineNumberTable
保留SpringBoot启动类，完全不混淆
-keep class com.example.Application { *; }
保留Controller、Service、Mapper等组件类名
-keep class com.example.controller.** { ; }
-keep class com.example.service.* { ; }
-keep class com.example.mapper.* { *; }
保留配置类
-keep class com.example.config.** { *; }
保留实体类字段，避免序列化失败
-keep class com.example.entity.** {
private <fields>;
public <methods>;
}
忽略第三方依赖警告，避免打包中断
-dontwarn **
注意：将包路径替换为你自己项目的实际包结构。
3. 打包与效果验证
执行Maven打包命令：
mvn clean package打包完成后，target 目录会生成两个Jar包：原始Jar和带 -obfuscated 后缀的混淆Jar。使用反编译工具打开混淆Jar，可看到类名、方法名已被替换为a、b、c等无意义字符，核心业务逻辑可读性大幅降低。
四、坑点与注意事项
- 插件执行顺序错误：proguard-maven-plugin 必须放在 spring-boot-maven-plugin 之前，否则SpringBoot重新打包会覆盖混淆结果，导致混淆不生效。
- 注解丢失导致启动失败：必须配置
-keepattributes *Annotation*，否则@Controller、@Autowired等注解会被混淆移除，造成Bean无法注入、接口404等问题。 - Windows命令行长度超限：依赖较多时Windows系统会出现命令行过长错误，添加
<putLibraryJarsInTempDir>true</putLibraryJarsInTempDir>即可解决。 - 多模块项目配置：多模块项目需要在每个业务子模块单独配置混淆，不能仅在父工程统一配置。
- 反射与序列化场景：涉及Jackson序列化、反射调用的类和字段必须保留，否则会出现运行时ClassNotFound、字段为空等异常。
- JDK版本兼容：JDK 9+ 模块化环境无
rt.jar，需将libs替换为对应JMOD文件路径。
五、总结
SpringBoot Maven项目做代码混淆，首选 proguard-maven-plugin，开源成熟、方案齐全，能够满足绝大多数场景的代码保护需求；非商业项目如需更高混淆强度可选择Allatori；企业级高安全场景可考虑商业工具DashO。