Tomcat环境下ProcessBuilder调用bat加密密码失败及替代方案咨询

一、使用org.apache.catalina.realm.MessageDigestCredentialHandler实现密码加密 #

1. 在context.xml中配置CredentialHandler #

在Tomcat的context.xml里，于<Realm>节点下添加<CredentialHandler>配置，示例如下：

<Context>
  <!-- 其他原有Realm配置（比如JDBCRealm等） -->
  <Realm className="org.apache.catalina.realm.JDBCRealm"
         driverName="com.mysql.cj.jdbc.Driver"
         connectionURL="jdbc:mysql://localhost:3306/your_db?useUnicode=true&amp;characterEncoding=utf-8"
         userTable="users" userNameCol="username" userCredCol="password"
         userRoleTable="user_roles" roleNameCol="role">
    <!-- 配置消息摘要凭证处理器 -->
    <CredentialHandler className="org.apache.catalina.realm.MessageDigestCredentialHandler"
                       algorithm="SHA-256"
                       iterations="10000"
                       saltLength="16"/>
  </Realm>
</Context>

• algorithm：指定哈希算法，推荐使用SHA-256、SHA-512等强哈希算法，避免MD5
• iterations：哈希迭代次数，数值越高破解难度越大，通常设置10000次以上
• saltLength：自动生成的盐的字节长度，建议16字节及以上，提升哈希安全性

2. 在Web应用代码中调用加密方法 #

你可以直接从Tomcat容器中获取配置好的CredentialHandler，确保加密逻辑和容器配置完全一致：

import org.apache.catalina.realm.MessageDigestCredentialHandler;
import org.apache.catalina.core.StandardContext;
import jakarta.servlet.ServletContext;

public String encryptPassword(String rawPassword, ServletContext servletContext) {
    // 获取Tomcat上下文的Realm实例
    StandardContext standardContext = (StandardContext) servletContext.getAttribute("org.apache.catalina.core.StandardContext.REALM");
    var credentialHandler = standardContext.getRealm().getCredentialHandler();
    
    if (credentialHandler instanceof MessageDigestCredentialHandler) {
        MessageDigestCredentialHandler handler = (MessageDigestCredentialHandler) credentialHandler;
        // 生成包含盐和迭代信息的加密密码
        return handler.mutate(rawPassword);
    }
    throw new RuntimeException("未配置MessageDigestCredentialHandler");
}

如果不想依赖容器上下文，也可以手动实例化CredentialHandler，但必须保证参数和context.xml完全匹配：

MessageDigestCredentialHandler handler = new MessageDigestCredentialHandler();
handler.setAlgorithm("SHA-256");
handler.setIterations(10000);
handler.setSaltLength(16);
String encryptedPassword = handler.mutate(rawPassword);

二、解决ProcessBuilder在Tomcat环境调用digest.bat的问题 #

常见问题及解决方案 #

1. 路径错误：找不到digest.bat

单独运行main时的工作目录和Tomcat运行时的工作目录不同，相对路径会失效。解决方法：

• 使用绝对路径调用digest.bat：

ProcessBuilder pb = new ProcessBuilder("C:\\apache-tomcat-9.0.80\\bin\\digest.bat", "-a", "SHA-256", rawPassword);

• 或者设置ProcessBuilder的工作目录为Tomcat的bin目录：

pb.directory(new File("C:\\apache-tomcat-9.0.80\\bin"));

2. 进程阻塞：未处理输入输出流

Tomcat环境下，必须手动读取Process的标准输出和错误输出，否则进程会因缓冲区满而挂起，最终返回错误。示例代码：

import java.io.IOException;
import java.nio.charset.StandardCharsets;

public String digestPassword(String rawPassword) throws IOException, InterruptedException {
    ProcessBuilder pb = new ProcessBuilder("C:\\apache-tomcat-9.0.80\\bin\\digest.bat", "-a", "SHA-256", rawPassword);
    Process process = pb.start();

    // 必须同时读取标准输出和错误输出，避免进程阻塞
    String output = new String(process.getInputStream().readAllBytes(), StandardCharsets.UTF_8);
    String errorOutput = new String(process.getErrorStream().readAllBytes(), StandardCharsets.UTF_8);

    int exitCode = process.waitFor();
    if (exitCode == 0) {
        // digest.bat输出格式为"原始密码:加密后密码"，提取加密结果
        String[] parts = output.trim().split(":");
        return parts.length == 2 ? parts[1] : "error";
    } else {
        // 打印错误信息用于排查（比如权限不足、环境变量缺失）
        System.err.println("digest.bat执行失败：" + errorOutput);
        return "error";
    }
}

3. 权限不足：Tomcat运行用户无执行权限

• Windows系统：如果Tomcat以服务运行，检查服务的运行账户是否拥有Tomcat bin目录的执行权限，可将账户添加到bin目录的权限列表中。
• Linux系统（对应digest.sh）：确保脚本有可执行权限（chmod +x digest.sh），且Tomcat运行用户有执行权限。

4. 环境变量缺失：JAVA_HOME未正确设置

digest.bat依赖JAVA_HOME环境变量，Tomcat运行时的环境变量可能和本地运行main时不同。可以手动在ProcessBuilder中设置：

Map<String, String> env = pb.environment();
env.put("JAVA_HOME", "C:\\Program Files\\Java\\jdk1.8.0_381");

内容的提问来源于stack exchange，提问作者cowbra