MD5带盐值的java加密算法

　我们知道，如果直接对密码进行散列，那么黑客可以对通过获得这个密码散列值，然后通过查散列值字典（例如MD5密码破解网站），得到某用户的密码。



　　加Salt可以一定程度上解决这一问题。所谓加Salt方法，就是加点“佐料”。其基本想法是这样的：当用户首次提供密码时（通常是注册时），由系统自动往这个密码里撒一些“佐料”，然后再散列。而当用户登录时，系统为用户提供的代码撒上同样的“佐料”，然后散列，再比较散列值，已确定密码是否正确。



　　这里的“佐料”被称作“Salt值”，这个值是由系统随机生成的，并且只有系统知道。这样，即便两个用户使用了同一个密码，由于系统为它们生成的salt值不同，他们的散列值也是不同的。即便黑客可以通过自己的密码和自己生成的散列值来找具有特定密码的用户，但这个几率太小了（密码和salt值都得和黑客使用的一样才行）。




　　下面详细介绍一下加Salt散列的过程。介绍之前先强调一点，前面说过，验证密码时要使用和最初散列密码时使用“相同的”佐料。所以Salt值是要存放在数据库里的。



用户注册时



用户输入【账号】和【密码】（以及其他用户信息）；

系统为用户生成【Salt值】；

系统将【Salt值】和【用户密码】连接到一起；

对连接后的值进行散列，得到【Hash值】；

将【Hash值1】和【Salt值】分别放到数据库中。



用户登录时



用户输入【账号】和【密码】；

系统通过用户名找到与之对应的【Hash值】和【Salt值】；

系统将【Salt值】和【用户输入的密码】连接到一起；

对连接后的值进行散列，得到【Hash值2】（注意是即时运算出来的值）；

比较【Hash值1】和【Hash值2】是否相等，相等则表示密码正确，否则表示密码错误。

有时候，为了减轻开发压力，程序员会统一使用一个salt值（储存在某个地方），而不是每个用户都生成私有的salt值。

----------------------------------
import java.security.MessageDigest;

public class PasswordEncoder {

private final static String[] hexDigits = { "0", "1", "2", "3", "4", "5",
   "6", "7", "8", "9", "a", "b", "c", "d", "e", "f" };

private Object salt;
private String algorithm;

public PasswordEncoder(Object salt, String algorithm) {
  this.salt = salt;
  this.algorithm = algorithm;
}

public String encode(String rawPass) {
  String result = null;
  try {
   MessageDigest md = MessageDigest.getInstance(algorithm);
   //加密后的字符串 
   result = byteArrayToHexString(md.digest(mergePasswordAndSalt(rawPass).getBytes("utf-8")));
  } catch (Exception ex) {
  }
  return result;
}

    public boolean isPasswordValid(String encPass, String rawPass) {
        String pass1 = "" + encPass;
        String pass2 = encode(rawPass);

        return pass1.equals(pass2);
    }
   
    private String mergePasswordAndSalt(String password) {
        if (password == null) {
            password = "";
        }

        if ((salt == null) || "".equals(salt)) {
            return password;
        } else {
            return password + "{" + salt.toString() + "}";
        }
    }

/**
  * 转换字节数组为16进制字串
  * @param b 字节数组
  * @return 16进制字串
  */
private static String byteArrayToHexString(byte[] b) {
  StringBuffer resultSb = new StringBuffer();
  for (int i = 0; i < b.length; i++) {
   resultSb.append(byteToHexString(b[i]));
  }
  return resultSb.toString();
}

private static String byteToHexString(byte b) {
  int n = b;
  if (n < 0)
   n = 256 + n;
  int d1 = n / 16;
  int d2 = n % 16;
  return hexDigits[d1] + hexDigits[d2];
}
   
    public static void main(String[] args) {
     String salt = "helloworld";
  PasswordEncoder encoderMd5 = new PasswordEncoder(salt, "MD5");
     String encode = encoderMd5.encode("test");
     System.out.println(encode);
     boolean passwordValid = encoderMd5.isPasswordValid("1bd98ed329aebc7b2f89424b5a38926e", "test");
     System.out.println(passwordValid);

     PasswordEncoder encoderSha = new PasswordEncoder(salt, "SHA");
     String pass2 = encoderSha.encode("test");
     System.out.println(pass2);
     boolean passwordValid2 = encoderSha.isPasswordValid("1bd98ed329aebc7b2f89424b5a38926e", "test");
     System.out.println(passwordValid2);
}

}


http://blog.csdn.net/hexingzhi/article/details/7424872
http://zhanqi.net/blog/527/