构建安全的登录系统：理解密码哈希与匹配机制

import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;

public class PasswordService {

    // 推荐在Spring配置中作为Bean注入
    private final BCryptPasswordEncoder passwordEncoder = new BCryptPasswordEncoder();

    /**
     * 对原始密码进行哈希
     * @param rawPassword 用户的明文密码
     * @return 哈希后的密码字符串
     */
    public String hashPassword(String rawPassword) {
        // BCryptPasswordEncoder 内部会自动生成随机盐值并进行哈希
        return passwordEncoder.encode(rawPassword);
    }

    /**
     * 模拟用户注册流程
     * @param username 用户名
     * @param rawPassword 原始密码
     */
    public void registerUser(String username, String rawPassword) {
        String hashedPassword = hashPassword(rawPassword);
        // 在实际应用中，会将 username 和 hashedPassword 存储到数据库
        System.out.println("用户 " + username + " 注册成功，哈希密码: " + hashedPassword);
        // 示例：userRepository.save(new User(username, hashedPassword));
    }

    public static void main(String[] args) {
        PasswordService service = new PasswordService();
        service.registerUser("testuser", "MySecurePassword123!");
        service.registerUser("anotheruser", "MySecurePassword123!"); // 即使密码相同，哈希值也不同
    }
}

用户 testuser 注册成功，哈希密码: $2a$10$Qo.uK3fF0vK7gZ1zP2aW.u.g7L9a0A1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6q7r8s9t0.
用户 anotheruser 注册成功，哈希密码: $2a$10$Rz.vY4gG1wL8hM2xQ3bC.v.h8K0a1B2C3D4E5F6G7H8I9J0K1L2M3N4O5P6Q7R8S9T0.

import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;

public class AuthService {

    // 推荐在Spring配置中作为Bean注入
    private final BCryptPasswordEncoder passwordEncoder = new BCryptPasswordEncoder();

    /**
     * 验证用户输入的密码是否与存储的哈希密码匹配
     * @param rawPassword 用户输入的明文密码
     * @param storedHashedPassword 数据库中存储的哈希密码
     * @return 如果匹配则返回true，否则返回false
     */
    public boolean verifyPassword(String rawPassword, String storedHashedPassword) {
        // BCryptPasswordEncoder 会自动从 storedHashedPassword 中提取盐值并进行比较
        return passwordEncoder.matches(rawPassword, storedHashedPassword);
    }

    /**
     * 模拟用户登录流程
     * @param username 用户名
     * @param rawPassword 用户输入的原始密码
     * @return 登录是否成功
     */
    public boolean loginUser(String username, String rawPassword) {
        // 实际应用中，这里会根据 username 从数据库查询 storedHashedPassword
        // 假设我们从数据库获取了之前注册的哈希密码
        String storedHashedPasswordForTestUser = "$2a$10$Qo.uK3fF0vK7gZ1zP2aW.u.g7L9a0A1b2c3d4e5f6g7L9a0A1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6q7r8s9t0."; // 替换为实际存储的哈希值

        // 假设数据库中没有这个用户或密码不匹配
        if (!"testuser".equals(username)) {
            System.out.println("用户 " + username + " 不存在！");
            return false;
        }

        boolean isPasswordMatch = verifyPassword(rawPassword, storedHashedPasswordForTestUser);

        if (isPasswordMatch) {
            System.out.println("用户 " + username + " 登录成功！");
            return true;
        } else {
            System.out.println("用户 " + username + " 密码不匹配！");
            return false;
        }
    }

    public static void main(String[] args) {
        AuthService authService = new AuthService();
        // 尝试正确密码登录
        authService.loginUser("testuser", "MySecurePassword123!");
        // 尝试错误密码登录
        authService.loginUser("testuser", "WrongPassword!");
        // 尝试不存在的用户登录
        authService.loginUser("nonexistentuser", "anypassword");
    }
}

用户 testuser 登录成功！
用户 testuser 密码不匹配！
用户 nonexistentuser 不存在！