探索密码校验技术：Spring Security中的多种加密方式

在Web应用中，密码的安全存储和验证是至关重要的。本文将通过一个具体的代码示例，介绍和总结如何在Spring Security中使用多种加密方式进行密码校验。我们将重点讲解BCrypt和MD5两种加密方式，以及如何使用代理类来统一管理这些加密方式。

示例代码

以下是我们将分析的核心代码段：

package com.example;

import org.apache.commons.codec.digest.DigestUtils;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.DelegatingPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

import java.util.HashMap;
import java.util.Map;

public class PasswordCheckExample {

  /**
   * 代理类
   */
  private static final PasswordEncoder PASSWORDENCODER;

  static {
    String defaultEncodeId = "bcrypt";
    PasswordEncoder md5 = new DigestMD5PasswordEncoder();

    Map<String, PasswordEncoder> encoders = new HashMap<>();
    encoders.put(defaultEncodeId, new BCryptPasswordEncoder());
    encoders.put("MD5", md5);

    DelegatingPasswordEncoder passwordEncoder = new DelegatingPasswordEncoder(defaultEncodeId, encoders);
    passwordEncoder.setDefaultPasswordEncoderForMatches(md5);

    PASSWORDENCODER = passwordEncoder;
  }

  public static void main(String[] args) {
    // 用户输入的明文密码
    String rawPassword = "123123";

    // 从数据库中读取的已加密的密码
    String encodedPassword = "{bcrypt}$2a$10$S9DHL4DrdO/zhJPM34lm..5CChFbmLThSPdOqweyVh6LLQG73ZeNa"; // 示例密文

    // 验证密码，返回 true 表示匹配，false 表示不匹配
    boolean matches = PASSWORDENCODER.matches(rawPassword, encodedPassword);
    System.out.println("密码匹配结果: " + matches);
  }

  /**
   * PasswordEncoder - MD5
   */
  private static class DigestMD5PasswordEncoder implements PasswordEncoder {

    @Override
    public String encode(CharSequence rawPassword) {
      return DigestUtils.md5Hex((String) rawPassword);
    }

    @Override
    public boolean matches(CharSequence rawPassword, String encodedPassword) {
      return encodedPassword.equals(encode(rawPassword));
    }
  }
}

主要技术解析

BCryptPasswordEncoder：
- Spring Security 提供的强加密算法。
- 通过 new BCryptPasswordEncoder() 创建实例，用于密码加密和验证。
- 优点：安全性高，包含盐值（salt），防止彩虹表攻击。
DigestUtils.md5Hex：
- Apache Commons Codec 提供的MD5加密工具。
- DigestUtils.md5Hex(String) 用于将明文密码转换为MD5加密后的字符串。
- 优点：加密速度快；缺点：安全性相对较低，不包含盐值，容易受到彩虹表攻击。
DelegatingPasswordEncoder：
- Spring Security 提供的代理类，用于支持多种密码加密方式。
- 通过 new DelegatingPasswordEncoder(defaultEncodeId, encoders) 创建实例。
- 可以设置默认的加密方式以及其他可选的加密方式。

示例代码解析

定义代理类：

private static final PasswordEncoder PASSWORDENCODER;
static {
  String defaultEncodeId = "bcrypt";
  PasswordEncoder md5 = new DigestMD5PasswordEncoder();

  Map<String, PasswordEncoder> encoders = new HashMap<>();
  encoders.put(defaultEncodeId, new BCryptPasswordEncoder());
  encoders.put("MD5", md5);

  DelegatingPasswordEncoder passwordEncoder = new DelegatingPasswordEncoder(defaultEncodeId, encoders);
  passwordEncoder.setDefaultPasswordEncoderForMatches(md5);

  PASSWORDENCODER = passwordEncoder;
}

定义一个静态的 PASSWORDENCODER 变量，用于统一管理密码的加密和验证。
创建 BCryptPasswordEncoder 和自定义的 DigestMD5PasswordEncoder 实例。
使用 DelegatingPasswordEncoder 代理类，将上述两种加密方式进行统一管理，并设置默认的加密方式为 BCrypt。
好的，我们继续。

验证密码

     String encodedPassword = "{bcrypt}$2a$10$S9DHL4DrdO/zhJPM34lm..5CChFbmLThSPdOqweyVh6LLQG73ZeNa"; // 示例密文

     boolean matches = PASSWORDENCODER.matches(rawPassword, encodedPassword);
     System.out.println("密码匹配结果: " + matches);
   }

rawPassword 是用户输入的明文密码。
encodedPassword 是从数据库中读取的已加密的密码，格式为 {bcrypt}密文，其中 {bcrypt} 标识了使用的是 BCrypt 算法。
使用 PASSWORDENCODER.matches(rawPassword, encodedPassword) 方法来验证用户输入的密码是否与数据库中的加密密码匹配。

自定义MD5加密类

  private static class DigestMD5PasswordEncoder implements PasswordEncoder {

    @Override
    public String encode(CharSequence rawPassword) {
      return DigestUtils.md5Hex((String) rawPassword);
    }

    @Override
    public boolean matches(CharSequence rawPassword, String encodedPassword) {
      return encodedPassword.equals(encode(rawPassword));
    }
  }