探索密码校验技术：Spring Security中的多种加密方式

在Web应用中，密码的安全存储和验证是至关重要的。本文将通过一个具体的代码示例，介绍和总结如何在Spring Security中使用多种加密方式进行密码校验。我们将重点讲解BCrypt和MD5两种加密方式，以及如何使用代理类来统一管理这些加密方式。

示例代码

以下是我们将分析的核心代码段：

package com.example;import org.apache.commons.codec.digest.DigestUtils;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.DelegatingPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;import java.util.HashMap;
import java.util.Map;public class PasswordCheckExample {/*** 代理类*/private static final PasswordEncoder PASSWORDENCODER;static {String defaultEncodeId = "bcrypt";PasswordEncoder md5 = new DigestMD5PasswordEncoder();Map<String, PasswordEncoder> encoders = new HashMap<>();encoders.put(defaultEncodeId, new BCryptPasswordEncoder());encoders.put("MD5", md5);DelegatingPasswordEncoder passwordEncoder = new DelegatingPasswordEncoder(defaultEncodeId, encoders);passwordEncoder.setDefaultPasswordEncoderForMatches(md5);PASSWORDENCODER = passwordEncoder;}public static void main(String[] args) {// 用户输入的明文密码String rawPassword = "123123";// 从数据库中读取的已加密的密码String encodedPassword = "{bcrypt}$2a$10$S9DHL4DrdO/zhJPM34lm..5CChFbmLThSPdOqweyVh6LLQG73ZeNa"; // 示例密文// 验证密码，返回 true 表示匹配，false 表示不匹配boolean matches = PASSWORDENCODER.matches(rawPassword, encodedPassword);System.out.println("密码匹配结果: " + matches);}/*** PasswordEncoder - MD5*/private static class DigestMD5PasswordEncoder implements PasswordEncoder {@Overridepublic String encode(CharSequence rawPassword) {return DigestUtils.md5Hex((String) rawPassword);}@Overridepublic boolean matches(CharSequence rawPassword, String encodedPassword) {return encodedPassword.equals(encode(rawPassword));}}
}

主要技术解析

BCryptPasswordEncoder：
- Spring Security 提供的强加密算法。
- 通过 new BCryptPasswordEncoder() 创建实例，用于密码加密和验证。
- 优点：安全性高，包含盐值（salt），防止彩虹表攻击。
DigestUtils.md5Hex：
- Apache Commons Codec 提供的MD5加密工具。
- DigestUtils.md5Hex(String) 用于将明文密码转换为MD5加密后的字符串。
- 优点：加密速度快；缺点：安全性相对较低，不包含盐值，容易受到彩虹表攻击。
DelegatingPasswordEncoder：
- Spring Security 提供的代理类，用于支持多种密码加密方式。
- 通过 new DelegatingPasswordEncoder(defaultEncodeId, encoders) 创建实例。
- 可以设置默认的加密方式以及其他可选的加密方式。

示例代码解析

定义代理类：

private static final PasswordEncoder PASSWORDENCODER;
static {String defaultEncodeId = "bcrypt";PasswordEncoder md5 = new DigestMD5PasswordEncoder();Map<String, PasswordEncoder> encoders = new HashMap<>();encoders.put(defaultEncodeId, new BCryptPasswordEncoder());encoders.put("MD5", md5);DelegatingPasswordEncoder passwordEncoder = new DelegatingPasswordEncoder(defaultEncodeId, encoders);passwordEncoder.setDefaultPasswordEncoderForMatches(md5);PASSWORDENCODER = passwordEncoder;
}

定义一个静态的 PASSWORDENCODER 变量，用于统一管理密码的加密和验证。
创建 BCryptPasswordEncoder 和自定义的 DigestMD5PasswordEncoder 实例。
使用 DelegatingPasswordEncoder 代理类，将上述两种加密方式进行统一管理，并设置默认的加密方式为 BCrypt。
好的，我们继续。

验证密码

     String encodedPassword = "{bcrypt}$2a$10$S9DHL4DrdO/zhJPM34lm..5CChFbmLThSPdOqweyVh6LLQG73ZeNa"; // 示例密文boolean matches = PASSWORDENCODER.matches(rawPassword, encodedPassword);System.out.println("密码匹配结果: " + matches);}

rawPassword 是用户输入的明文密码。
encodedPassword 是从数据库中读取的已加密的密码，格式为 {bcrypt}密文，其中 {bcrypt} 标识了使用的是 BCrypt 算法。
使用 PASSWORDENCODER.matches(rawPassword, encodedPassword) 方法来验证用户输入的密码是否与数据库中的加密密码匹配。

自定义MD5加密类

  private static class DigestMD5PasswordEncoder implements PasswordEncoder {@Overridepublic String encode(CharSequence rawPassword) {return DigestUtils.md5Hex((String) rawPassword);}@Overridepublic boolean matches(CharSequence rawPassword, String encodedPassword) {return encodedPassword.equals(encode(rawPassword));}}