ApsaraDB RDS:Kelola otorisasi

package org.example;

import com.alibaba.encdb.EncdbSDK;
import com.alibaba.encdb.crypto.EncdbSDKBuilder;

import java.io.IOException;
import java.nio.file.Files;
import java.nio.file.Paths;
import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.SQLException;

public class Main {
    public static void main(String[] args) {
        Main main = new Main();
        main.testSelfBcl();
    }

    private String readPemFile(String filename) throws IOException {
        return new String(Files.readAllBytes(Paths.get(filename)));
    }

    public void testSelfBcl() {
        // Ganti nilai parameter dengan informasi sebenarnya tentang instance RDS.
        String hostname = "pgm-****.pg.rds.aliyuncs.com";
        String port = "5432";
        String dbname = "testdb";
        String username = "testdbuser";
        String password = "****";
        String mek = "00112233445566778899aabbccddeeff";  // Ini adalah nilai contoh. Kami sarankan Anda menggunakan kunci enkripsi utama (MEK) yang lebih kompleks.
        String prikeyFilename = "D:\\test\\Issuer\\pri_key_pkcs8.pem"; // Ini adalah nilai contoh. Anda harus mengganti nilainya dengan jalur file kunci.
        String pubkeyFilename = "D:\\test\\Issuer\\pub_key.pem"; // Ini adalah nilai contoh. Anda harus mengganti nilainya dengan jalur file kunci.
        try (Connection conn = DriverManager.getConnection("jdbc:postgresql://" + hostname + ":" + port + "/" + dbname + "?binaryTransfer=true", username, password)) {
            System.out.println("koneksi berhasil");
            String tblname = "tbl_alter_" + conn.getMetaData().getUserName();
            // Buat tabel.
            conn.createStatement().executeUpdate("DROP TABLE IF EXISTS " + tblname);
            conn.createStatement().executeUpdate("CREATE TABLE " + tblname + " (id int)");
            // Tulis data teks biasa ke dalam tabel.
            try (PreparedStatement stmt = conn.prepareStatement("INSERT INTO " + tblname + " VALUES(?)")) {
                stmt.setInt(1, 231);
                stmt.executeUpdate();
            }
            // Opsional. Bersihkan catatan BCL historis.
            conn.createStatement().executeUpdate("DELETE FROM encdb.encdb_internal_bcl_table");
            conn.createStatement().executeUpdate("DELETE FROM encdb.encdb_internal_brl_map_table");
            conn.createStatement().executeUpdate("DELETE FROM encdb.encdb_internal_brl_table");
            // Inisialisasi SDK dan distribusikan MEK.
            EncdbSDK sdk = EncdbSDKBuilder.newInstance()
                    .setDbConnection(conn)
                    .setMek(mek)
                    .build();
            System.out.println("inisialisasi berhasil");
            // Baca konten kunci publik dan privat dari file kunci.
            String userPrkPemString = readPemFile(prikeyFilename);
            String userPukPemString = readPemFile(pubkeyFilename);
            // Daftarkan kunci publik dan privat.
            sdk.getKeyManager().registerCertificate(userPrkPemString, userPukPemString);
            System.out.println("registrasi sertifikat berhasil");

            // Gunakan DEK tertentu untuk mengonversi kolom teks biasa menjadi kolom teks terenkripsi. Misalnya, Anda dapat menggunakan encdb.dek_generate untuk menghasilkan DEK.
            // DEK default digunakan. Anda dapat menggunakan encdb.keyname_generate untuk menghasilkan keyname yang diperlukan.
            String keyname = "'|" + username + "|" + dbname + "|'";
            String alterStmString = "ALTER TABLE " + tblname + " ALTER COLUMN id SET DATA TYPE enc_int4 USING encdb.enc_int4_encrypt(id, " + keyname + ")";

            // Perubahan teks biasa gagal sebelum otorisasi.
            try {
                conn.createStatement().executeUpdate(alterStmString);
            } catch (SQLException exception) {
                if (exception.getMessage().contains("fa030000") || exception.getMessage().contains("fa020000")) {
                    System.out.println("mengubah kolom menjadi enc_int4 gagal tanpa otorisasi");
                } else {
                    throw exception; // Lempar ulang pengecualian lainnya.
                }
            }
            // Lakukan otorisasi multi-pengguna.
            String bclBodyJsonString = """
                    {
                        "version": 1,
                        "serial_num": "fdbed057-7fe5-4c31-97ae-afdd615732fe",
                        "issuer_pukid": "p81x+WqYb7BR0yP0LK0qiEaxgLDqwuIjfJhgC0mMJcE=",
                        "subject_pukid": "p81x+WqYb7BR0yP0LK0qiEaxgLDqwuIjfJhgC0mMJcE=",
                        "validity": {
                            "not_after": "20250920111111+0800",
                            "not_before": "20240920111111+0800"
                        },
                        "policies": {
                            "issuer_dek_group": [
                                {
                                    "min": 1,
                                    "max": 100000,
                                    "groupid": "93165651-609f-47db-91aa-c3a2ab7084c4"
                                }
                            ],
                            "result_dek": "SUBJECT",
                            "subject_dek_group": [
                                {
                                    "min": 1,
                                    "max": 100000,
                                    "groupid": "93165651-609f-47db-91aa-c3a2ab7084c4"
                                }
                            ],
                            "operation": [
                                "*"
                            ],
                            "postproc": "NULL",
                            "preproc": "NULL"
                        }
                    }
                    """;
            // Terbitkan otorisasi.
            {
                bclBodyJsonString = sdk.getKeyManager().issueBCL(bclBodyJsonString, userPukPemString, userPrkPemString, true);
                bclBodyJsonString = sdk.getKeyManager().issueBCL(bclBodyJsonString, userPukPemString, userPrkPemString, false);
                System.out.println("penerbitan bcl berhasil");
            }
            // Perubahan teks biasa berhasil setelah otorisasi.
            conn.createStatement().executeUpdate(alterStmString);
            System.out.println("mengubah kolom menjadi enc_int4 berhasil setelah diberi otorisasi");
        } catch (SQLException |
                 IOException e) {
            e.printStackTrace(); // Cetak pengecualian.
        }
    }
}

package org.example;

import java.io.IOException;
import java.nio.file.Files;
import java.nio.file.Paths;
import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;

import org.junit.jupiter.api.Assertions;
import org.junit.jupiter.api.Test;

import com.alibaba.encdb.Cryptor;
import com.alibaba.encdb.EncdbSDK;
import com.alibaba.encdb.common.Constants.EncAlgo;
import com.alibaba.encdb.crypto.EncdbSDKBuilder;

public class BlcTest {
    private String readPemFile(String filename) throws IOException {
        return new String(Files.readAllBytes(Paths.get(filename)));
    }

    private void prepareData(Connection conn, EncdbSDK sdk) throws SQLException {
        int id = 1;
        String name = "name";
        int price = 1234;
        float miles = 12.34f;
        String secret = "aliyun";

        String tblname = "tbl_" + conn.getMetaData().getUserName();
        // Buat tabel.
        conn.createStatement().executeUpdate("DROP TABLE IF EXISTS " + tblname);
        conn.createStatement().executeUpdate("CREATE TABLE " + tblname
                + " (id INTEGER, name VARCHAR, price enc_int4, miles enc_float4, secret enc_text, PRIMARY KEY (id))");

        // Tulis data.
        PreparedStatement stmt = conn.prepareStatement(
                "INSERT INTO " + tblname + " (id, name, price, miles, secret) VALUES(?,?,?,?,?)");
        stmt.setInt(1, id);
        stmt.setString(2, name);
        // Enkripsi dan tulis data.
        Cryptor cryptor = sdk.getCryptor();
        stmt.setBytes(3, cryptor.encrypt(tblname, "price", price));
        stmt.setBytes(4, cryptor.encrypt(tblname, "miles", miles));
        stmt.setBytes(5, cryptor.encrypt(tblname, "secret", secret));
        stmt.execute();
    }

    private void validateResult(ResultSet rs, EncdbSDK sdk) throws SQLException {
        int id = 1;
        String name = "name";
        int price = 1234;
        float miles = 12.34f;
        String secret = "aliyun";

        Cryptor cryptor = sdk.getCryptor();
        while (rs.next()) {
            int idRs = rs.getInt(1);
            Assertions.assertEquals(id, idRs);
            String nameRs = rs.getString(2);
            Assertions.assertEquals(name, nameRs);
            int priceRs = cryptor.decryptInt(rs.getBytes(3));
            Assertions.assertEquals(price, priceRs);
            float milesRs = cryptor.decryptFloat(rs.getBytes(4));
            Assertions.assertEquals(miles, milesRs, 0.000001f);
            String secretRs = cryptor.decryptString(rs.getBytes(5));
            Assertions.assertEquals(secret, secretRs);
        }
    }

    private void simpleQuery(Connection conn, EncdbSDK sdk) throws SQLException {
        String tblname = "tbl_" + conn.getMetaData().getUserName();
        String sqlCmd = "SELECT * FROM " + tblname + " WHERE  price > ?";
        PreparedStatement stmt = conn.prepareStatement(sqlCmd);
        // Enkripsi konten query.
        Cryptor cryptor = sdk.getCryptor();
        stmt.setBytes(1, cryptor.encrypt(tblname, "price", 100));
        ResultSet rs = stmt.executeQuery();

        validateResult(rs, sdk);
    }

    private void subjectJoinQuery(Connection subjectConn, EncdbSDK subjectSdk, Connection issuerConn)
            throws SQLException {
        String issuerTblname = "tbl_" + issuerConn.getMetaData().getUserName();
        String subjectTblname = "tbl_" + subjectConn.getMetaData().getUserName();

        // Mulai query JOIN sebagai subjek untuk menanyakan data dalam tabel penerbit.
        String sqlCmd = "SELECT subject.id as id, subject.name as name, subject.price as price, subject.miles as miles, subject.secret as secret "
                + "FROM " + issuerTblname + " issuer, " + subjectTblname + " subject "
                + "WHERE issuer.price = subject.price and subject.price > ?";

        Connection conn = subjectConn;
        EncdbSDK sdk = subjectSdk;
        PreparedStatement stmt = conn.prepareStatement(sqlCmd);
        // Enkripsi konten query.
        Cryptor cryptor = sdk.getCryptor();
        stmt.setBytes(1, cryptor.encrypt(subjectTblname, "price", 100));
        ResultSet rs = stmt.executeQuery();

        validateResult(rs, sdk);
    }

    @Test
    public void testBcl() throws SQLException, IOException {
        // Konfigurasikan parameter hostname, port, dan dbname berdasarkan informasi tentang instance RDS.
        String hostname = "pgm-****.pg.rds.aliyuncs.com";
        String port = "5432";
        String dbname = "testdb";

        // Informasi tentang penerbit.
        Connection issuerConn;
        EncdbSDK issuerSdk;
        String issuerPriKeyPemString;
        String issuerPubKeyPemString;
        // Informasi tentang subjek.
        Connection subjectConn;
        EncdbSDK subjectSdk;
        String subjectPriKeyPemString;
        String subjectPubKeyPemString;

        // Inisialisasi koneksi basis data dan lengkapi distribusi MEK. Untuk informasi lebih lanjut, lihat EncDB SDK.
        {
            // Inisialisasi informasi penerbit.
            {
                // Konfigurasikan parameter username dan password berdasarkan informasi tentang instance RDS.
                String username = "testdbuser";
                String password = "****";
                String mek = "00112233445566778899aabbccddeeff"; // Ini adalah nilai contoh. Kami sarankan Anda menggunakan MEK yang lebih kompleks.

                // Buat koneksi basis data.
                String dbUrl = String.format("jdbc:postgresql://%s:%s/%s?binaryTransfer=true", hostname, port, dbname);
                issuerConn = DriverManager.getConnection(dbUrl, username, password);
                System.out.println("koneksi penerbit berhasil");

                // Inisialisasi SDK dan distribusikan MEK. Untuk informasi lebih lanjut, lihat EncDB SDK.
                issuerSdk = EncdbSDKBuilder.newInstance()
                        .setDbConnection(issuerConn)
                        .setMek(mek)
                        .setEncAlgo(EncAlgo.SM4_128_CBC)
                        .build();
                System.out.println("inisialisasi penerbit berhasil");
            }
            // Inisialisasi informasi subjek.
            {
                // Konfigurasikan parameter username dan password berdasarkan informasi tentang instance RDS.
                String username = "testdbuser02";
                String password = "****";
                String mek = "ffeeddccbbaa99887766554433221100"; // Ini adalah nilai contoh. Kami sarankan Anda menggunakan MEK yang lebih kompleks.

                // Buat koneksi basis data.
                String dbUrl = String.format("jdbc:postgresql://%s:%s/%s?binaryTransfer=true", hostname, port, dbname);
                subjectConn = DriverManager.getConnection(dbUrl, username, password);
                System.out.println("koneksi subjek berhasil");

                // Inisialisasi SDK dan distribusikan MEK. Untuk informasi lebih lanjut, lihat EncDB SDK.
                subjectSdk = EncdbSDKBuilder.newInstance()
                        .setDbConnection(subjectConn)
                        .setMek(mek)
                        .setEncAlgo(EncAlgo.SM4_128_CBC)
                        .build();
                System.out.println("inisialisasi subjek berhasil");
            }

            // Masukkan data uji dan verifikasi bahwa pemilik data dapat mengakses dan melihat data teks biasa setelah dekripsi.
            {
                // Tulis data sebagai penerbit dan verifikasi data.
                {
                    Connection tmpConnection = issuerConn;
                    EncdbSDK tmpSdk = issuerSdk;

                    // Persiapkan data uji sebagai penerbit dan enkripsi bidang tertentu.
                    prepareData(tmpConnection, tmpSdk);
                    System.out.println("data penerbit siap");

                    // Tanyakan data sebagai penerbit untuk memeriksa apakah penerbit dapat mengakses dan melihat data teks biasa setelah dekripsi.
                    Assertions.assertDoesNotThrow(() -> {
                        simpleQuery(tmpConnection, tmpSdk);
                    });
                    System.out.println("penerbit berhasil menanyakan data miliknya sendiri");
                }
                // Tulis data sebagai subjek dan verifikasi data.
                {
                    Connection tmpConnection = subjectConn;
                    EncdbSDK tmpSdk = subjectSdk;

                    // Persiapkan data uji sebagai subjek dan enkripsi bidang tertentu.
                    prepareData(tmpConnection, tmpSdk);
                    System.out.println("data subjek siap");

                    // Tanyakan data sebagai subjek untuk memeriksa apakah subjek dapat mengakses dan melihat data teks biasa setelah dekripsi.
                    Assertions.assertDoesNotThrow(() -> {
                        simpleQuery(tmpConnection, tmpSdk);
                    });
                    System.out.println("subjek berhasil menanyakan data miliknya sendiri");
                }
                // Berikan izin akses pada tabel data. Konten data dalam tabel tidak dapat diakses.
                {
                    String tblname = "tbl_" + issuerConn.getMetaData().getUserName();
                    issuerConn.createStatement().execute(
                            "GRANT SELECT ON TABLE " + tblname + " TO " + subjectConn.getMetaData().getUserName());

                    // Bersihkan catatan BCL historis.
                    subjectConn.createStatement().execute("DELETE FROM encdb.encdb_internal_bcl_table");
                    subjectConn.createStatement().execute("DELETE FROM encdb.encdb_internal_brl_map_table");
                    subjectConn.createStatement().execute("DELETE FROM encdb.encdb_internal_brl_table");
                }
            }
        }

        // Daftarkan kunci publik dan privat subjek dan penerbit. Anda hanya perlu melakukan operasi ini sekali selama inisialisasi.
        {
            // Daftarkan kunci publik dan privat sebagai penerbit.
            {
                // Baca konten kunci publik dan privat dari file kunci.
                String prikeyFilename = "D:\\test\\Issuer\\pri_key_pkcs8.pem"; // Ini adalah nilai contoh. Anda harus mengganti nilainya dengan jalur file kunci.
                String pubkeyFilename = "D:\\test\\Issuer\\pub_key.pem"; // Ini adalah nilai contoh. Anda harus mengganti nilainya dengan jalur file kunci.
                issuerPriKeyPemString = readPemFile(prikeyFilename);
                issuerPubKeyPemString = readPemFile(pubkeyFilename);
                // Daftarkan kunci publik dan privat.
                issuerSdk.getKeyManager().registerCertificate(issuerPriKeyPemString, issuerPubKeyPemString);
                System.out.println("registrasi sertifikat penerbit berhasil");

            }

            // Daftarkan kunci publik dan privat sebagai subjek.
            {
                // Baca konten kunci publik dan privat dari file kunci.
                String prikeyFilename = "D:\\test\\Subject\\pri_key_pkcs8.pem"; // Ini adalah nilai contoh. Anda harus mengganti nilainya dengan jalur file kunci.
                String pubkeyFilename = "D:\\test\\Subject\\pub_key.pem"; // Ini adalah nilai contoh. Anda harus mengganti nilainya dengan jalur file kunci.
                subjectPriKeyPemString = readPemFile(prikeyFilename);
                subjectPubKeyPemString = readPemFile(pubkeyFilename);
                // Daftarkan kunci publik dan privat.
                subjectSdk.getKeyManager().registerCertificate(subjectPriKeyPemString, subjectPubKeyPemString);
                System.out.println("registrasi sertifikat subjek berhasil");
            }
        }

        // Sebelum otorisasi data multi-pengguna, subjek mencoba mengakses data yang ditulis oleh penerbit. Pesan kesalahan yang menunjukkan bahwa akses ditolak akan ditampilkan.
        {
            Connection tmpConnection = subjectConn;
            EncdbSDK tmpSdk = subjectSdk;
            Connection tmpIssuerConn = issuerConn;
            SQLException exception = Assertions.assertThrows(SQLException.class, () -> {
                subjectJoinQuery(tmpConnection, tmpSdk, tmpIssuerConn);
            });
            Assertions.assertEquals("ERROR: encdb_get_hash_from_bytea: errno:fa030000", exception.getMessage());
            System.out.println("query data penerbit oleh subjek gagal tanpa otorisasi");
        }

        // Lakukan otorisasi data multi-pengguna. Pastikan konten otorisasi benar.
        {
            // Otorisasi subjek untuk mengakses DEK kolom yang ditentukan oleh penerbit.
            // DEK penerbit ditentukan oleh issuer_dek_group. DEK subjek ditentukan oleh subject_dek_group.
            String bclBodyJsonString = """
                    {
                        "version": 1,
                        "serial_num": "a121bac0-5cb3-4463-a2b2-1155ff29f4c8",
                        "issuer_pukid": "p81x+WqYb7BR0yP0LK0qiEaxgLDqwuIjfJhgC0mMJcE=",
                        "subject_pukid": "qIPPfgTJEEG/9WkjP0E5LLAijZ14h/Qgb2EfmBZCWSo=",
                        "validity": {
                            "not_after": "20250820111111+0800",
                            "not_before": "20240820111111+0800"
                        },
                        "policies": {
                            "issuer_dek_group": [
                                {
                                    "min": 1,
                                    "max": 100000,
                                    "groupid": "e4a92b05-f64d-4665-aadd-cd1336d0c0cc"
                                },
                                {
                                    "min": 1,
                                    "max": 100000,
                                    "groupid": "1010b43b-50da-4473-81ac-ce84657eb4f9"
                                },
                                {
                                    "min": 1,
                                    "max": 100000,
                                    "groupid": "b99e70cf-c6b0-444f-a404-81a721e38734"
                                }
                            ],
                            "result_dek": "SUBJECT",
                            "subject_dek_group": [
                                {
                                    "min": 1,
                                    "max": 100000,
                                    "groupid": "d1cbe5a6-49f0-42e0-ba07-572e2a5e2f5f"
                                },
                                {
                                    "min": 1,
                                    "max": 100000,
                                    "groupid": "9c772fa3-4712-4034-9447-0f1e9e18fbeb"
                                },
                                {
                                    "min": 1,
                                    "max": 100000,
                                    "groupid": "e2541c31-891e-4f8d-8389-09c5631f1e66"
                                }
                            ],
                            "operation": [
                                "*"
                            ],
                            "postproc": "NULL",
                            "preproc": "NULL"
                        }
                    }
                    """;

            // Urutan langkah-langkah berikut dapat diubah: Penerbit secara aktif melakukan otorisasi. Subjek meminta otorisasi.
            // Penerbit menerbitkan BCL untuk mengizinkan subjek mengakses data yang dienkripsi menggunakan DEK yang ditentukan dalam BCL.
            {
                bclBodyJsonString = issuerSdk.getKeyManager().issueBCL(bclBodyJsonString, issuerPubKeyPemString,
                        issuerPriKeyPemString, true);
                System.out.println("penerbit berhasil menerbitkan bcl");
            }
            // Subjek menerbitkan permintaan untuk mengakses data yang dienkripsi menggunakan DEK yang ditentukan dalam BCL.
            {
                bclBodyJsonString = subjectSdk.getKeyManager().issueBCL(bclBodyJsonString, subjectPubKeyPemString,
                        subjectPriKeyPemString, false);
                System.out.println("subjek berhasil menerbitkan bcl");
            }
        }

        // Setelah otorisasi data multi-pengguna selesai, subjek mencoba mengakses data yang ditulis oleh penerbit. Subjek berhasil mengakses dan melihat konten yang didekripsi.
        {
            Connection tmpConnection = subjectConn;
            EncdbSDK tmpSdk = subjectSdk;
            Connection tmpIssuerConn = issuerConn;
            Assertions.assertDoesNotThrow(() -> {
                subjectJoinQuery(tmpConnection, tmpSdk, tmpIssuerConn);
            });
            System.out.println("subjek berhasil menanyakan data penerbit setelah diberi otorisasi");
        }
    }
}