bcrypt加密算法一些说明

我们在对密码加密时，有各种算法，进行密码比对时是如何确定使用的那种加密方式呢？ 下面一段官方文档给了详细的说明。

官方文档原文：

The general format for a password is:

{id}encodedPassword 
Such that id is an identifier used to look up which PasswordEncoder should be used and encodedPassword is the original encoded password for the selected PasswordEncoder. The id must be at the beginning of the password, start with { and end with }. If the id cannot be found, the id will be null. For example, the following might be a list of passwords encoded using different id. All of the original passwords are “password”.

密码模式：

{加密方式} 加密密码

示例：

bcrypt 加密：

{bcrypt}2a2a10dXJ3SW6G7P50lGmMkkmwe.20cQQubK3.HZWzG3YB1tlRy.fqvM/BGnooppasswordpbkdf25d923b44a6d129f3ddf3e3c8d29412723dcbde72445e8ef6bf3b508fbf17fa4ed4d6b99ca763d8dcscryptdXJ3SW6G7P50lGmMkkmwe.20cQQubK3.HZWzG3YB1tlRy.fqvM/BGnooppasswordpbkdf25d923b44a6d129f3ddf3e3c8d29412723dcbde72445e8ef6bf3b508fbf17fa4ed4d6b99ca763d8dcscrypte08018bWJaSu2IKSn9Z9kM+TPXfOc/9bdYSrN1oD9qfVThWEwdRTnO7re7Ei+fUZRJ68k9lTyuTeUp4of4g24hHnazw==8bWJaSu2IKSn9Z9kM+TPXfOc/9bdYSrN1oD9qfVThWEwdRTnO7re7Ei+fUZRJ68k9lTyuTeUp4of4g24hHnazw==OAOec05+bXxvuu/1qZ6NUR+xQYvYv7BeL1QxwRpY5Pc=

sha256加密：

{sha256}97cde38028ad898ebc02e690819fa220e88c62e0699403e94fff291cfffaf8410849f27605abcbc0

上面这段话的意思是说，现如今Spring Security中密码的存储格式是“{id}…………”。前面的id是加密方式，id可以是bcrypt、sha256等，后面跟着的是加密后的密码。也就是说，程序拿到传过来的密码的时候，会首先查找被“{”和“}”包括起来的id，来确定后面的密码是被怎么样加密的，如果找不到就认为id是null。这也就是为什么我们的程序会报错：There is no PasswordEncoder mapped for the id “null”。官方文档举的例子中是各种加密方式针对同一密码加密后的存储形式，原始密码都是“password”。

要想我们的项目还能够正常登陆，需要修改一下configure中的代码。我们要将前端传过来的密码进行某种方式加密，spring security 官方推荐的是使用bcrypt加密方式。那么如何对密码加密呢，只需要在configure方法里面指定一下。

 

 

加密代码如下所示：

protected void configure(AuthenticationManagerBuilder auth) throws Exception {  
        //inMemoryAuthentication 从内存中获取    
        auth.inMemoryAuthentication().passwordEncoder(new BCryptPasswordEncoder()).withUser("user1").password(new BCryptPasswordEncoder().encode("123456")).roles("USER");  
}  

在inMemoryAuthentication()后面多了”.passwordEncoder(new BCryptPasswordEncoder())”,这相当于登陆时用BCrypt加密方式对用户密码进行处理。以前的”.password(“123456”)” 变成了 “.password(new BCryptPasswordEncoder().encode(“123456”))” ，这相当于对内存中的密码进行Bcrypt编码加密。比对时一致，说明密码正确，允许登陆。

如果你现在用的也是从内存中取密码，那么按照上面这么修改后应该会成功登录没有问题的。

如果你用的是在数据库中存储用户名和密码，那么一般是要在用户注册时就使用BCrypt编码将用户密码加密处理后存储在数据库中。并且修改configure()方法，加入”.passwordEncoder(new BCryptPasswordEncoder())”，保证用户登录时使用bcrypt对密码进行处理再与数据库中的密码比对。如下：

//注入userDetailsService的实现类  
auth.userDetailsService(userService).passwordEncoder(new BCryptPasswordEncoder());  

@Component
public class MyUserDetailsService implements UserDetailsService {
    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = new User(username,new BCryptPasswordEncoder().encode("12345678"),AuthorityUtils.commaSeparatedStringToAuthorityList("admin"));
        return user;
    }
}

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private DataSource dataSource;

    @Autowired
    private MyUserDetailsService userDetailsService;
 protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(new BCryptPasswordEncoder());
    }