--- title: 使能堆转储增强特性 description: "JVM提供支持转储进程堆内容的能力，若Java进程的内存中保留了大量的敏感信息，dump转储堆文件的操作将存在信息泄漏的安全风险。堆转储增强特性在保障Heap-dump故障定位能力前提下，屏蔽了转储堆文件中的敏感信息。该特性尤其在重大涉密项目中，对数据安全与隐私保护有重大意义。" url: https://www.hikunpeng.com/document/detail/zh/kunpengaccel/system-lib/ugbishengjdklib/kunpengaccel_jdk_06_0003.html sourcePath: /source/zh/kunpengaccel/system-lib/ugbishengjdklib/kunpengaccel_jdk_06_0003.html indexId: 886e76ac2ff82a00021f900ba53706c5cc8ad11caea0847627232fd976db19d680 --- # 使能堆转储增强特性 #### 介绍 JVM提供支持转储进程堆内容的能力，若Java进程的内存中保留了大量的敏感信息，dump转储堆文件的操作将存在信息泄漏的安全风险。堆转储增强特性在保障Heap-dump故障定位能力前提下，屏蔽了转储堆文件中的敏感信息。该特性尤其在重大涉密项目中，对数据安全与隐私保护有重大意义。 #### 场景建议 需要通过Heapdump文件进行问题定位或性能分析，但不希望发生敏感信息泄漏。 #### 使用约束 - 当毕昇JDK版本为8和17时支持堆转储增强特性，分别从毕昇JDK 8u422和17.0.12开始支持。 - 服务部署的Java版本要升级到支持该功能的JDK工具包对应的版本。 - 请参见 安装毕昇JDK加速库 完成毕昇JDK加速软件包的下载和安装。 #### 使用方法 堆转储增强特性支持以下两种方式使能。 - 进程VM参数使能方式命令举例： 1 java -Xmx10M -XX:+HeapDumpOnOutOfMemoryError -XX:HeapDumpRedact=full -XX:RedactMapFile=/home/heapmap.txt -XX:RedactMap="password:abc,encrypt:cde" MyClass -XX:RedactClassPath=/myClass/.../ReplaceValueAnnotation - jmap命令参数使能方式命令举例： 1 jmap -dump:HeapDumpRedact=,RedactMap="",RedactMapFile=,RedactClassPath= jmap命令参数具体使用示例和方法请参见《Heapdump匿名化用户使用说明书(https://atomgit.com/openeuler/bishengjdk-8/wiki/heapdump匿名化用户使用说明书.md#jmap-heapdump匿名化)》。 以上命令参数说明如表1所示。 **表1 堆转储增强特性使能命令参数说明** | 参数 | 说明 | | --- | --- | | \-XX:HeapDumpRedact | 指定匿名化模式。 names：屏蔽敏感symbols，需要用户指定映射表，可以由RedactMapFile指定在一个文件里，或者由RedactMap直接写在命令行中。 basic：屏蔽int/char/byte数组，全部清零。 full：names + basic。 annotation：屏蔽敏感字段值，需要在开发阶段，由开发人员定义用来匿名化的注解类，dump时指定类名（包含classpath），注解类中的value替换掉字段值。 diyrules：屏蔽敏感字段值，需要屏蔽的类和字段值信息由RedactMapFile指定在一个文件里，或者由RedactMap直接写在命令行中。 off：默认行为，关闭heapdump匿名化即堆转储特性。 | | \-XX:RedactMap | 命令行中指定屏蔽敏感名字映射关系对，以英文分号作为组之间的分隔，以英文冒号作为映射对key/value的分隔。例如：key1:value1;key2:value2...。 | | \-XX:RedactMapFile | 通过文件获取要屏蔽敏感名字的映射关系。 | | \-XX:RedactClassPath | 指定敏感值替换的注解类。 |