ProGuard混淆Artifactory依赖打包SpringBoot Fat Jar可行性咨询

逐场景落地实现说明 #

• 针对Artifactory远程依赖混淆、保护公开API防逆向的需求：
  ProGuard Gradle插件原生支持读取Gradle自动解析的全链路依赖（含从Artifactory/M2仓库拉取的远程包）作为混淆输入集，无需手动下载Jar到本地目录。只需在混淆规则中针对需要保护的依赖包路径，配置-keep public class 目标依赖包路径.** { public protected *; }规则，即可在混淆类内部实现逻辑、提升逆向难度的同时，完整保留依赖对外暴露的公开API结构，保证业务代码调用兼容。
• 针对自身业务代码完全保留格式、方便日志排查的需求：
  通过精细化规则控制即可实现。只需针对自有业务代码的包路径配置全量保留规则-keep class 自有业务包路径.** { *; }，同时配套添加保留行号、源码标识的规则：

  -keepattributes SourceFile,LineNumberTable
  -renamesourcefileattribute SourceFile
  

  即可保证业务代码的类名、方法名、日志输出格式、错误堆栈行号完全和混淆前一致，不会影响线上问题排查。
• 针对必须直接使用仓库拉取的依赖、通过Gradle流程完成混淆，不依赖本地libs目录Jar的需求：
  混淆流程可完全嵌入Gradle构建任务链路。注册ProGuard任务时，直接将configurations.runtimeClasspath（即Gradle自动从Artifactory拉取、维护的运行时依赖集合）作为ProGuard的输入来源，全程不需要手动操作本地Jar文件，所有依赖拉取、解析、混淆的动作都在构建流程内自动完成，无需依赖开放目录下的本地文件。
• 针对混淆产物打包进Spring Boot Fat Jar的需求：
  只需调整Gradle任务的依赖顺序：将ProGuard混淆任务设置为Spring Boot bootJar任务的前置依赖，让混淆任务完成后，用混淆后的Jar产物替换原未混淆的远程依赖集合，再由bootJar任务收集混淆后的产物完成Fat Jar打包，全程不需要手动拷贝文件即可自动完成。

实操避坑提示 #

• 不要将Spring Boot框架核心依赖纳入混淆范围，否则会因为自动配置逻辑、类加载路径被破坏导致应用启动失败，只需在混淆规则中补充Spring Boot核心包的全量保留规则即可，不影响自定义依赖的混淆保护效果。
• 如果混淆的依赖包含Spring注解、需被框架反射读取，记得补充-keepattributes *Annotation*规则，避免注解被剥离导致自动装配失效。

内容的提问来源于stack exchange，提问作者Jacek