安全的用户认证：理解密码哈希而非加密在登录系统中的应用

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

@Configuration
public class SecurityConfig {

    @Bean
    public PasswordEncoder passwordEncoder() {
        // BCryptPasswordEncoder会自动生成盐值并处理哈希
        // strength参数控制计算强度，值越大越安全但计算耗时越长
        return new BCryptPasswordEncoder(12); // 默认值是10，12是一个不错的折衷
    }
}

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.stereotype.Service;

@Service
public class UserService {

    @Autowired
    private PasswordEncoder passwordEncoder; // 注入配置好的PasswordEncoder

    public User registerUser(String username, String rawPassword) {
        // 1. 哈希密码
        String hashedPassword = passwordEncoder.encode(rawPassword);

        // 2. 将用户名和哈希后的密码存储到数据库
        // User user = new User(username, hashedPassword);
        // userRepository.save(user); // 实际应用中会保存到数据库

        System.out.println("用户 " + username + " 注册成功，哈希密码: " + hashedPassword);
        // 实际应用中返回用户对象或其他结果
        return null;
    }
}

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.stereotype.Service;

@Service
public class AuthService {

    @Autowired
    private PasswordEncoder passwordEncoder;

    public boolean login(String username, String rawPassword) {
        // 1. 从数据库获取存储的哈希密码 (实际应用中会从数据库加载)
        String storedHashedPassword = findHashedPasswordByUsername(username);

        if (storedHashedPassword == null) {
            // 用户不存在
            System.out.println("用户 " + username + " 登录失败：用户不存在。");
            return false;
        }

        // 2. 验证输入的明文密码是否与存储的哈希密码匹配
        // BCryptPasswordEncoder会自动从存储的哈希中提取盐值并进行比较
        boolean isPasswordMatch = passwordEncoder.matches(rawPassword, storedHashedPassword);

        if (isPasswordMatch) {
            System.out.println("用户 " + username + " 登录成功！");
        } else {
            System.out.println("用户 " + username + " 登录失败：密码不匹配。");
        }
        return isPasswordMatch;
    }

    // 模拟从数据库获取哈希密码的方法
    private String findHashedPasswordByUsername(String username) {
        // 实际应用中，这里会进行数据库查询
        // 为了演示，我们假设存储了一个用户名为 "testuser" 的哈希密码
        if ("testuser".equals(username)) {
            // 这个哈希值是注册时由 BCryptPasswordEncoder.encode("password123") 生成的示例
            // 注意：每次encode都会生成不同的哈希值