Java 项目如何保护 Jar 和 War：BCE 字节码加密与 VME 虚拟化对比

Java 项目交付时，Jar、War 和 Class 文件仍保留可分析的结构信息。本文从保护对象、运行机制、项目调用和部署要求四个方面，对 BCE 与 VME 做一个工程化对比。

先确认需要保护什么

未保护的 Class 文件可能被 jadx、JD-GUI 等工具反编译，业务逻辑、算法、授权校验和敏感字符串都可能被分析。Jar 或 War 被复制、包内文件被修改，也属于需要考虑的交付风险。

如果需要覆盖多个 Java 文件中的方法字节码，通常从 BCE 开始评估；如果风险集中在少量高价值方法，则重点评估 VME。

BCE 的工作方式和限制

BCE 对选定 Java 文件中 Class 的方法字节码进行加密。运行时，Java Agent 在 Native 层按需解密方法字节码，再交给 JVM 编译和执行。每次只解密一个方法，使用完成后清理内存。

BCE 适合 Jar、War 或包含多个 Jar 的 Java 项目，性能影响较小，支持 JDK 1.6 及以上环境。保护后的 Jar 只能直接运行，不能像普通 Jar 一样被其他项目调用；运行环境需要配置 sjt_agent.jar。BCE 只保护代码逻辑，类名、方法名、注解、接口和静态属性不在主要保护范围内。

VME 的工作方式和限制

VME 将选定方法的 JVM 字节码转换为自定义虚拟机指令，由 Native 虚拟机执行。自定义指令可以随机化，常规 Java 反编译工具不能直接还原被虚拟化的方法。

VME 适合授权校验、核心算法、加密处理和通信认证等关键方法。保护后的 Jar 可作为依赖被其他 Java 项目调用。VME 还支持字符串加密、调试器检测、文件校验、SDK 标签和性能报告。代码虚拟化会影响性能，构造方法、反射方法等部分代码可能不支持；内嵌 Jar 需要取出后单独保护，再放回原 Jar。

两种方式如何选择

维度	BCE	VME
保护对象	方法字节码	选定关键方法
运行机制	按方法解密后交给 JVM	自定义虚拟机指令执行
适用场景	项目级 Jar/War 保护	授权、算法、加密等关键逻辑
项目调用	只能运行	可作为依赖被其他项目调用
性能	影响较小	需要筛选方法并测试

组合方式和上线检查

项目同时包含普通业务方法和高价值关键方法时，可以组合使用两种方式。顺序必须是先 VME、后 BCE。实施过程中应确认保护文件、方法范围、目标 JDK、操作系统和 CPU 架构，并在实际环境验证启动、功能、兼容性和性能。

选择保护方式时，不建议只看保护强度。项目调用关系、方法执行频率和部署方式同样需要纳入评估。

运行平台与部署方式

两种方式都需要在保护时选择目标平台。可选范围包括 Windows x86/x64、Linux x86/x64/ARM32/ARM64/loongarch，以及 macOS x64/ARM64；运行环境支持 JDK 1.6 及以上。实际部署时，还要结合应用服务器和启动方式进行验证。

BCE 的部署重点是 Java Agent。Jar 运行时通过 -javaagent 加载 sjt_agent.jar；War 放入 Tomcat 后，需要在容器启动参数中配置 Agent。macOS ARM64 环境可能需要对 Agent 或保护后 Jar 中的动态库重新签名。

VME 不支持直接对内嵌 Jar 加密。正确的处理顺序是取出内嵌 Jar、单独保护、放回原 Jar，再处理外层 Jar。构造方法、反射方法等部分代码可能不支持，方法选择前应完成兼容性确认。

VME 性能报告的使用步骤

性能报告会输出函数名称、调用次数、平均调用时间和调用总时长。配置 CSV 文件后，对选定方法启用代码虚拟化并运行程序；程序正常结束或手动终止后，在指定位置查看报告。对于调用次数多或平均调用时间长的方法，可以取消虚拟化后重新保护并复测。

任务管理器强制结束 Java 进程时可能没有报告，未选择代码虚拟化的方法也不会产生统计。报告输出位置应填写文件名或完整路径。

命令行和上线验证

图形界面适合确认文件、方法和平台；命令行方式适合自动化集成。保护前先梳理 Jar、War、Class 和内嵌 Jar 的关系，标记授权校验、核心算法和加密处理方法，再选择 BCE 或 VME。组合使用时固定为先 VME、后 BCE。

交付前要在实际 JDK、操作系统、CPU 架构和中间件环境中验证启动、业务功能、项目调用、兼容性、文件完整性和性能。

深盾科技 · Virbox | 让数字世界充满信任

Virbox Protector（VBP）是一套面向软件交付安全的全栈软件加密与应用加固解决方案，覆盖 Java/.NET/Python、本地程序、移动应用、Unity、SDK、静态库、目标文件与 AI 模型等软件资产。