如何在不同运行模式下条件性使用bc-fips或bcprov-jdk18on且避免类路径冲突？

这个问题我之前帮团队踩过坑，因为bc-fips和bcprov-jdk18on的核心类完全重名，直接放一起肯定会出现类加载冲突，轻则功能异常，重则启动就崩。给你几个经过实践验证的方案，根据你的部署场景选就行：

方案一：构建时通过Profile分离依赖（最推荐） #

如果你的不同运行模式是在构建阶段就确定的（比如测试用非FIPS、生产用FIPS），那直接用构建工具的Profile功能，让不同Profile只引入对应的加密库，打包出来的jar包自然只会包含其中一个，从根源上避免冲突。

以Maven为例，在pom.xml里定义两个Profile：

<profiles>
    <profile>
        <id>fips-mode</id>
        <dependencies>
            <dependency>
                <groupId>org.bouncycastle</groupId>
                <artifactId>bc-fips</artifactId>
                <version>2.1.0</version>
            </dependency>
        </dependencies>
    </profile>
    <profile>
        <id>non-fips-mode</id>
        <dependencies>
            <dependency>
                <groupId>org.bouncycastle</groupId>
                <artifactId>bcprov-jdk18on</artifactId>
                <version>1.80</version>
            </dependency>
        </dependencies>
    </profile>
</profiles>

打包时指定对应的Profile即可：

• FIPS模式：mvn clean package -P fips-mode
• 非FIPS模式：mvn clean package -P non-fips-mode

Gradle的话思路类似，用flavors或者buildTypes来配置条件依赖，打包时指定对应的变体就行。

方案二：运行时通过自定义类加载器动态加载（适合单包多模式场景） #

如果需要同一个部署包支持两种模式切换（比如通过启动参数控制），那就要用自定义类加载器来隔离两个库的类加载。核心思路是：不让系统类加载器提前加载任何一个加密库，而是根据启动参数，用独立的类加载器加载指定的库。

示例代码大概是这样的：

public class CryptoProviderLoader {
    public static Provider loadProvider() throws Exception {
        String cryptoMode = System.getProperty("crypto.mode", "non-fips");
        File libFile;
        if ("fips".equals(cryptoMode)) {
            libFile = new File("libs/bc-fips-2.1.0.jar");
        } else {
            libFile = new File("libs/bcprov-jdk18on-1.80.jar");
        }

        // 用自定义URLClassLoader加载，父加载器设为null避免系统类加载器干扰
        URLClassLoader cryptoClassLoader = new URLClassLoader(
                new URL[]{libFile.toURI().toURL()},
                null
        );

        // 加载并实例化加密提供者
        Class<?> providerClass = cryptoClassLoader.loadClass(
                "org.bouncycastle.jce.provider.BouncyCastleProvider"
        );
        return (Provider) providerClass.getDeclaredConstructor().newInstance();
    }
}

启动应用时通过参数指定模式：

• FIPS模式：java -Dcrypto.mode=fips -jar your-app.jar
• 非FIPS模式：java -Dcrypto.mode=non-fips -jar your-app.jar

注意：所有和加密相关的操作，最好都通过这个自定义类加载器加载的类来完成，避免出现“同一个类被不同类加载器加载导致类型转换异常”的问题。

方案三：用Java模块化系统（JPMS）做模块级隔离 #

Java 21完全支持JPMS，你可以把两个加密库作为模块来管理，启动时通过--add-modules指定要加载的模块，JPMS会自动隔离不同模块的类，不会出现冲突。

首先确保你的应用和加密库都是模块化的（bcprov-jdk18on和bc-fips都提供了模块化支持），然后启动命令如下：

• FIPS模式：

java --module-path your-app.jar:libs/bc-fips-2.1.0.jar \
     --add-modules org.bouncycastle.fips \
     -jar your-app.jar

• 非FIPS模式：

java --module-path your-app.jar:libs/bcprov-jdk18on-1.80.jar \
     --add-modules org.bouncycastle.provider \
     -jar your-app.jar

这种方式的优势是不需要修改应用代码，只需要调整启动参数，适合对代码侵入性要求低的场景。

额外注意事项 #

• 核心原则：同一运行时只能加载其中一个加密库，任何时候都不要让两个库的类同时出现在类加载器的可见范围内。
• 测试要充分：FIPS模式有严格的合规约束，部分API的行为和非FIPS模式可能有细微差别，一定要分别在两种模式下做完整的功能和合规测试。
• 框架适配：如果用Spring Boot之类的框架，可以结合框架的Profile机制，把依赖配置和框架Profile绑定，打包时指定Profile就能自动切换依赖，用起来更省心。

内容来源于stack exchange