记一次线上druid数据库连接池加密问题排查

背景：

目前线上的系统使用的是springcloud+ nacos + druid + mybatisplus的微服务架构，配置中心使用的是nacos。数据库连接池是阿里的druid，由于之前的小伙伴出于各种原因（可能是炫技，也可能是自己练手），采用了双数据源的配置，配置文件中的数据库密码使用的是密文。系统在运行期间总是会不定期出现连接不上数据库。

问题排查：

从上面的报错信息可以推断出，造成数据库连不上的极大可能是因为数据库密码不正确，但是并没有人去更改过密码，并且每次重启系统就又可以正常运行了。与之前的小伙（因系统是其搭建的）进行问题讨论，小伙并没有给出什么好的解决方案，建议升级mysql 驱动试试。但小学生并不觉得是mysql 驱动的问题：主要是因为其他没有使用双数据源配置的系统并没有出现此类问题。

最近又开始频繁出现，于是小学生本着对工作的认真负责态度（实际是被产品骂得不行，系统经常报错），决定要一探究竟到底是何方妖魔在此作怪。

于是小学生仔细回想每次出现这种问题的前后时间点，还真是让小学生发现了些蛛丝马迹（不得不佩服自己的这聪明的大脑，中午给自己加个鸡腿）：每次出现此问题之前，肯定是修改并发布了nacos配置中心的文件。为了验证自己的初步想法是否正确，小学生本地启动项目进行debug，然后不断地修改发布nacos配置文件，果然出现了上述的问题。

问题分析：

项目中是使用以下的方式进行初始化数据源的：

跟踪进源码后发现实际上是创建了DruidDataSourceWrapper对象 ：

从上面的注释可以得知：构建多数据源，详细请看文档----这是一个历史的方法，现在你可以使用 new DruidDataSourceWrapper()。起初我以为是这出的问题，当我去new DruidDataSourceWrapper 它的时候，发现根本无法new 出来，因为这个类并不是 public 的，作罢。

下面我们放一张类的关系继承图：

实际上本次我们分析的问题，主要只用到了DruidDataSource 和 其父类 DruidAbstractDataSource。

首先我们来看下DruidAbstractDataSource 该类中的 public void setConnectionProperties(String connectionProperties) 这个方法

//connectionProperties 实际上就是项目配置文件中的
//spring.datasource.xxx.connection-properties 配置的值
public void setConnectionProperties(String connectionProperties) {
  //如果是空 将connectProperties 设置成 null
    if (connectionProperties == null || connectionProperties.trim().length() == 0) {
        //该方法是个抽象方法，这里实际调用的是 DruidDataSource 中重写过的
      	setConnectProperties(null);
        return;
    }
  
		//下面这段代码的逻辑很简单，就不具体分析了。
    String[] entries = connectionProperties.split(";");
    Properties properties = new Properties();
    for (int i = 0; i < entries.length; i++) {
        String entry = entries[i];
        if (entry.length() > 0) {
            int index = entry.indexOf('=');
            if (index > 0) {
                String name = entry.substring(0, index);
                String value = entry.substring(index + 1);
                properties.setProperty(name, value);
            } else {
                // no value is empty string which is how java.util.Properties works
                properties.setProperty(entry, "");
            }
        }
    }

    setConnectProperties(properties);
}

实际在DruidAbstractDataSource 初始化完成，属性设置完成之后的时候，数据库的password是加密之后的，这个时候小学生就很好奇它是在什么地方进行解密的，进过一些列的追踪验证，发现是在 com.alibaba.druid.pool.DruidDataSource#init（后面会详细分析这个方法） 这个方法中 调用 filter.init(this)，com.alibaba.druid.filter.config.ConfigFilter#init进行解密的 。

下面我就来具体看看 com.alibaba.druid.pool.DruidDataSource#init（由于篇幅原因，会删减一些代码） 这个方法中到底干啥了：

public void init() throws SQLException {
  	//是否已经初始过，如果初始化了，直接return
    if (inited) {
        return;
    }

    // bug fixed for dead lock, for issue #2980
    DruidDriver.getInstance();

    final ReentrantLock lock = this.lock;
    try {
        lock.lockInterruptibly();
    } catch (InterruptedException e) {
        throw new SQLException("interrupt", e);
    }

    boolean init = false;
    try {
        if (inited) {
            return;
        }
      	//遍历所有的filter，调用其init的方法，
      	//本例中的系统实际上只有 ConfigFilter ，其init方法中是负责数据库密码解密的
        for (Filter filter : filters) {
            filter.init(this);
        }
        //从spi serviceLoader 中加载 filter
        initFromSPIServiceLoader();
      	//初始化检查，主要是不同数据版本的检测
        initCheck();
      	//初始化异常排序
        initExceptionSorter();
      	//初始化验证连接检查器
        initValidConnectionChecker();
      	//验证查询检查
        validationQueryCheck();
        SQLException connectError = null;
				//第一次的时候 createScheduler 肯定是null，所以该分支不会执行
        if (createScheduler != null && asyncInit) {
            for (int i = 0; i < initialSize; ++i) {
                submitCreateTask(true);
            }
        } else if (!asyncInit) {
            // 初始化连接
            while (poolingCount < initialSize) {
                try {
                  	//创建物理连接信息，本例中问题的解决办法就是从该方法中找到的思路（后面会详细介绍）
                    PhysicalConnectionInfo pyConnectInfo = createPhysicalConnection();
                    DruidConnectionHolder holder = new DruidConnectionHolder(this, pyConnectInfo);
                    connections[poolingCount++] = holder;
                } catch (SQLException ex) {
                    LOG.error("init datasource error, url: " + this.getUrl(), ex);
                    if (initExceptionThrow) {
                        connectError = ex;
                        break;
                    } else {
                        Thread.sleep(3000);
                    }
                }
            }
        }
			//创建logStats线程
        createAndLogThread();
      //创建数据库连接线程，这是一个守护线程
        createAndStartCreatorThread();
      //创建销毁线程
        createAndStartDestroyThread();
      //挂起当前的执行的线程
        initedLatch.await();
        init = true;
        initedTime = new Date();
        registerMbean();

        if (connectError != null && poolingCount == 0) {
            throw connectError;
        }

        if (keepAlive) {
            // async fill to minIdle
            if (createScheduler != null) {
                for (int i = 0; i < minIdle; ++i) {
                    submitCreateTask(true);
                }
            } else {
                this.emptySignal();
            }
        }

    } catch (SQLException e) {
        LOG.error("{dataSource-" + this.getID() + "} init error", e);
        throw e;
    } catch (InterruptedException e) {
        throw new SQLException(e.getMessage(), e);
    } catch (RuntimeException e){
        LOG.error("{dataSource-" + this.getID() + "} init error", e);
        throw e;
    } catch (Error e){
        LOG.error("{dataSource-" + this.getID() + "} init error", e);
        throw e;

    } finally {
        inited = true;
        lock.unlock();

        if (init && LOG.isInfoEnabled()) {
            String msg = "{dataSource-" + this.getID();

            if (this.name != null && !this.name.isEmpty()) {
                msg += ",";
                msg += this.name;
            }

            msg += "} inited";

            LOG.info(msg);
        }
    }
}

下面简单介绍一下 createAndStartCreatorThread()这个方法，实际上这个方法是创建一个守护线程，这个守护线程在后台一直自旋，当数据库连接不够用的时候，这个线程负责创建新的连接放到池中（实际是往 这个数组DruidConnectionHolder[] connections里面添加元素）。

我们再来看看本例中找到解决问题思路的方法 com.alibaba.druid.pool.DruidAbstractDataSource#createPhysicalConnection()：

public PhysicalConnectionInfo createPhysicalConnection() throws SQLException {
    //数据库连接url
  	String url = this.getUrl();
    Properties connectProperties = getConnectProperties();
		//用户名
    String user;
    if (getUserCallback() != null) {
        user = getUserCallback().getName();
    } else {
        user = getUsername();
    }
		//数据库密码 密文
    String password = getPassword();
  	//数据库密码 回调处理类
    PasswordCallback passwordCallback = getPasswordCallback();
		//如果这个回调处理类不是null，则调用其 setUrl 和 setProperties()方法 
  	//如果 回调处理类的密码不是null，则用其覆盖现在的密文密码
  	//于是小学生就在系统中 写了一个类继承了 DruidPasswordCallback 并进行了密码的解密操作
    if (passwordCallback != null) {
        if (passwordCallback instanceof DruidPasswordCallback) {
            DruidPasswordCallback druidPasswordCallback = (DruidPasswordCallback) passwordCallback;

            druidPasswordCallback.lsetUrl(ur);
            druidPasswordCallback.setProperties(connectProperties);
        }

        char[] chars = passwordCallback.getPassword();
        if (chars != null) {
            password = new String(chars);
        }
    }
    Properties physicalConnectProperties = new Properties();
    if (connectProperties != null) {
        physicalConnectProperties.putAll(connectProperties);
    }

    if (user != null && user.length() != 0) {
        physicalConnectProperties.put("user", user);
    }

    if (password != null && password.length() != 0) {
        physicalConnectProperties.put("password", password);
    }

  //.....省略
  
    return new PhysicalConnectionInfo(conn, connectStartNanos, connectedNanos, initedNanos, validatedNanos, variables, globalVariables);
}

从上面的源码中我们可以看出 如果我们配置了数据库密码回调处理类并且该类是DruidPasswordCallback的子类 ，将会调用其setUrl 和 setProperties 方法，于是小学生就写了一个类继承自DruidPasswordCallback 并重写其 setProperties方法 ，在其方法中将密码进行解密操作：

需要注意的是，需要在配置文件中添加 spring.datasource.druid.xxx.password-callback-class-name 属性，属性值为自定义密码回调类的全类名，另外，从前面的分析中，我们知道setProperties(Properties properties) 中的参数实际上spring.datasource.druid.xxx.connection-properties 中配置的值，所以我们需要在spring.datasource.druid.xxx.connection-properties 中追加 ;password=${spring.datasource.druid.xxx.password}，至此问题得以解决。

遗留问题：

为什么单个数据源没有出现此类问题？如果有小伙伴知道原因欢迎留言告诉小学生。

以上就是小学生对线上问题排查及解决，如果有小伙伴遇到类似问题，欢迎留言讨论。由于本人才疏学浅，如果文中说的有不正确的地方，欢迎小伙伴们留言指出，谢谢