Spring Security BCryptPasswordEncoder 密码加盐-Toy模板网

这篇具有很好参考价值的文章主要介绍了Spring Security BCryptPasswordEncoder 密码加盐。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

Spring Security BCryptPasswordEncoder 密码加盐

引入spring-boot-starter-security 的Jar包

    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
    </dependency>

使用 BCryptPasswordEncoder 对密码加盐加密

测试类

        //region Description
        BCryptPasswordEncoder bCryptPasswordEncoder = new BCryptPasswordEncoder();
        for (int i = 0; i < 10; i++) {
            String admin = bCryptPasswordEncoder.encode("admin");
            System.out.println(admin);
        }
        // 从上面的输出中随便拿一个
        System.out.println(bCryptPasswordEncoder.matches("admin",    "$2a$10$U96JT2Wzq/0w1D9XBUsXQ.s7AHgruQayc3ay2oqYkGJyJb1vZyJ0i"));
        //endregion

上面的运行结果

$2a$10$w2/bCNOlrFxx.2.JP62AC.GtCGWVHuSPqqA27tcR1DxseKRebiU2G
$2a$10$U96JT2Wzq/0w1D9XBUsXQ.s7AHgruQayc3ay2oqYkGJyJb1vZyJ0i
$2a$10$lJTuTYwNxIecuqlvrVGmQODghl1hAOQ7RiQX5n0nAzUm/GJWo8JyW
$2a$10$sQw2UP2PTajRgCcUTl/v8OdUrV7rCMHDpfEDDJnFHcZDTDbiDpHIO
$2a$10$ZxBi1IS9HFA/eu/eYI.MueNT7.6FtvYWQ2SmGgIBD/Ilunj/I/oCa
$2a$10$eIJXe5.HdLPADm5dNt2OZuHDU0Ah3pGAQJGYA5Xygzsg.TnyX0K3m
$2a$10$bc.cR8suk4F78sxlwNyYn.wxpXBxxTIEhqzmY17F6dcPT7w72Hry2
$2a$10$vSTY.wb3RXovBvm43KUUHucQiStV2CfQySh6LkgMztOPcIYjz2Whm
$2a$10$/ruK9/xObSI3ogMC6ozGDeTv3SEkVuMRcqBvx6M79fiMasdMPoqwe
$2a$10$ueyHKn/h2dyixZ2Gr7d3feXYMZvJTOXGSZFx7n/c/ROSdBf1RhfA2
true

可以发现对密码加密，每次都是不一样的密文，但是任意的一个结果密文和原文match , 得到的都是true，这到底是是怎么回事尼？

先说结论

BCryptPasswordEncoder的 encode 方法对原文加密，是会产生随机数的盐 salt，所以每次加密得到的密文都是不同的
那么每次不同，如何实现可以比较出原文和密文是否相匹配尼，重点就是在密文里面包含了随机生成的 salt，加密和解密都是调用的一样的方法。所以可以比较出来

就拿上面生成的密文来说吧： $2a$10$ueyHKn/h2dyixZ2Gr7d3feXYMZvJTOXGSZFx7n/c/ROSdBf1RhfA2
通过debug， 可以发现他的 salt 为$2a$10$ueyHKn/h2dyixZ2Gr7d3fe
real_salt 为 ueyHKn/h2dyixZ2Gr7d3fe
而 密文为 $2a$10$ueyHKn/h2dyixZ2Gr7d3feXYMZvJTOXGSZFx7n/c/ROSdBf1RhfA2  
可以发现密文里面其实包含了盐
我们知道 密文是由 原文 和 盐 根据算法生成的。 
那么我们现在知道了密文， 也就是说知道了盐， 也知道了原文。 用这个原文和 盐在生成一次密文， 如果这个得出的密文等于比较的密文， 那么说明这个密文就是这个原文生成的

跟着源码看一下

加密实现

	public String encode(CharSequence rawPassword) {
		String salt;
        // 生成随机数盐
		if (random != null) {
			salt = BCrypt.gensalt(version.getVersion(), strength, random);
		} else {
			salt = BCrypt.gensalt(version.getVersion(), strength);
		}
        // 根据 随机数盐 和原文， 生成密文
		return BCrypt.hashpw(rawPassword.toString(), salt);
	}

	public static String hashpw(byte passwordb[], String salt) {
......
    .......
    // 对随机数盐做一些处理， 得到真正的盐， （前面的规则不用理会， 一些特定的分隔符而已）
    
		real_salt = salt.substring(off + 3, off + 25);
		saltb = decode_base64(real_salt, BCRYPT_SALT_LEN);

		if (minor >= 'a') // add null terminator
			passwordb = Arrays.copyOf(passwordb, passwordb.length + 1);

		B = new BCrypt();
		hashed = B.crypt_raw(passwordb, saltb, rounds, minor == 'x', minor == 'a' ? 0x10000 : 0);

		rs.append("$2");
		if (minor >= 'a')
			rs.append(minor);
		rs.append("$");
		if (rounds < 10)
			rs.append("0");
		rs.append(rounds);
		rs.append("$");
		encode_base64(saltb, saltb.length, rs);
		encode_base64(hashed, bf_crypt_ciphertext.length * 4 - 1, rs);
        // 最终的密文
		return rs.toString();
	}

match 实现

	public boolean matches(CharSequence rawPassword, String encodedPassword) {
		if (encodedPassword == null || encodedPassword.length() == 0) {
			logger.warn("Empty encoded password");
			return false;
		}

		if (!BCRYPT_PATTERN.matcher(encodedPassword).matches()) {
			logger.warn("Encoded password does not look like BCrypt");
			return false;
		}

		return BCrypt.checkpw(rawPassword.toString(), encodedPassword);
	}

	public static boolean checkpw(String plaintext, String hashed) {
		return equalsNoEarlyReturn(hashed, hashpw(plaintext, hashed));
	}

	static boolean equalsNoEarlyReturn(String a, String b) {
		return MessageDigest.isEqual(a.getBytes(StandardCharsets.UTF_8), b.getBytes(StandardCharsets.UTF_8));
	}