BCrypt--密码加密和匹对

名字是乱打的

发布于 2022-05-13 10:26:35

1K0

发布于 2022-05-13 10:26:35

文章被收录于专栏：软件工程

背景

任何应用考虑到安全，绝不能明文的方式保存密码。密码应该通过哈希算法进行加密。有很多标准的算法比如SHA或者MD5，结合salt(盐)是一个不错的选择。 Spring Security 提供了BCryptPasswordEncoder类,实现Spring的PasswordEncoder接口使用BCrypt强哈希方法来加密密码。

BCrypt

BCrypt每次加密后的密码,我管理员自己看数据库都没有办法获得,因为它的加密是不可逆的,而且每次加密后密码都是随机的非常安全

我们使用过程通常需要导入spring security来提供这个加盐算法

<dependency>
          <groupId>org.springframework.boot</groupId>
          <artifactId>spring-boot-starter-security</artifactId>
      </dependency>

另外spring security默认提供一个拦截器会拦截我们的请求,而我们使用只是利用加盐算法的话那么需要修改,我们可以用如下方法做一个配置类改变默认的拦截

package com.tensquare.user.config;

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

/**
 * 安全配置类
 */
@Configuration  /*让系统知道这是一个配置类*/
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter{
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        //authorizeRequests所有security全注解配置实现的开端，表示开始说明需要的权限。
        //需要的权限分两部分，第一部分是拦截的路径，第二部分访问该路径需要的权限。
        //antMlatchers表示拦截什么路径，permitA1任何权限都可以访问，直接放行所有。
        //anyRequest（）任何的请求，authenticated认证后才能访问
        //.and（）.csrf（）.disable（）；固定写法，表示使csrf拦截失效。
        http
                .authorizeRequests()
                .antMatchers("/**").permitAll()
                .anyRequest().authenticated()
                .and().csrf().disable();
    }
}

这样当我们使用时候只需要注入这个加盐算法就可以使用了

@Autowired
    private BCryptPasswordEncoder bCryptPasswordEncoder;

BCryptPasswordEncoder 提供了两个方法,分别用来加密和匹对

encode()用于密码加密,我们把需要加密的密文放在BCryptPasswordEncoder的encode方法中作为参数即可实现严密,如下我们在注册用户时候添加密码可以先加密

user.setPassword(bCryptPasswordEncoder.encode(user.getPassword()));

bCryptPasswordEncoder.matches( )可以用来匹配 BCcrypt采用的加盐和hash算法无法通过 matches(CharSequence rawPassword, String encodedPassword) 方法中前一个参数为前端传来的值（例如123），后一个为数据库中需要对比的值（已加密存入数据库的密码）