別再明文存密碼了！Spring Boot 實(shí)現(xiàn)密碼加密存儲(chǔ)的五種硬核方式
作者：編程疏影
在實(shí)際構(gòu)建 Java Web 系統(tǒng)的過程中，用戶密碼的安全管理絕對(duì)不能馬虎。如果密碼被原樣寫入數(shù)據(jù)庫(kù)，那無異于把金庫(kù)大門敞開。本文將帶你深入了解 Spring Boot 中五種加密處理密碼的方案，每一種都能有效抵御密碼泄露帶來的風(fēng)險(xiǎn)。
在實(shí)際構(gòu)建 Java Web 系統(tǒng)的過程中，用戶密碼的安全管理絕對(duì)不能馬虎。如果密碼被原樣寫入數(shù)據(jù)庫(kù)，那無異于把金庫(kù)大門敞開。本文將帶你深入了解 Spring Boot 中五種加密處理密碼的方案，每一種都能有效抵御密碼泄露帶來的風(fēng)險(xiǎn)。
為什么密碼絕不能明文保存？
在你動(dòng)手寫入數(shù)據(jù)庫(kù)之前，請(qǐng)牢記以下三點(diǎn)理由：
- 防止泄露后“裸奔”數(shù)據(jù)庫(kù)一旦被攻破，用戶密碼一覽無余。
- 用戶賬號(hào)聯(lián)動(dòng)風(fēng)險(xiǎn)很多人不同平臺(tái)用的是同一個(gè)密碼，一旦一個(gè)泄露，其它平臺(tái)也岌岌可危。
- 法律合規(guī)要求像 OWASP、GDPR 等都明確要求不能以明文存儲(chǔ)密碼。
密碼如何安全保存？五種方式送上
1、使用 BCrypt 進(jìn)行密碼加密
核心特性：
- 內(nèi)建加鹽機(jī)制，有效防止彩虹表攻擊；
- 可以設(shè)置加密強(qiáng)度；
- 哈希結(jié)果長(zhǎng)度固定（60 字符），便于存儲(chǔ)。
依賴配置（如未引入 Spring Security）：
<!-- /src/main/resources/pom.xml -->
<dependency>
<groupId>org.springframework.security</groupId>
<artifactId>spring-security-crypto</artifactId>
</dependency>加密與驗(yàn)證實(shí)現(xiàn)：
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
public class PasswordUtils {
private static final BCryptPasswordEncoder encoder = new BCryptPasswordEncoder();
public static String encode(String rawPassword) {
return encoder.encode(rawPassword);
}
public static boolean matches(String rawPassword, String encodedPassword) {
return encoder.matches(rawPassword, encodedPassword);
}
}測(cè)試代碼：
public static void main(String[] args) {
String raw = "mypassword";
String encoded = PasswordUtils.encode(raw);
System.out.println("BCrypt加密后: " + encoded);
System.out.println("是否匹配: " + PasswordUtils.matches(raw, encoded));
}優(yōu)劣分析：
- ? 安全性好，使用方便；
- ? 相比其他算法，加密速度稍慢。
2、借助 PBKDF2 增強(qiáng)密碼存儲(chǔ)
PBKDF2 通過多輪迭代和鹽值計(jì)算，進(jìn)一步加大破解成本。
依賴保持一致：
<!-- /src/main/resources/pom.xml -->
<dependency>
<groupId>org.springframework.security</groupId>
<artifactId>spring-security-crypto</artifactId>
</dependency>編碼實(shí)現(xiàn)：
import org.springframework.security.crypto.password.Pbkdf2PasswordEncoder;
public class PasswordUtils {
private static final Pbkdf2PasswordEncoder encoder = new Pbkdf2PasswordEncoder();
public static String encode(String rawPassword) {
return encoder.encode(rawPassword);
}
public static boolean matches(String rawPassword, String encodedPassword) {
return encoder.matches(rawPassword, encodedPassword);
}
}運(yùn)行測(cè)試：
public static void main(String[] args) {
String password = "mypassword";
String hash = PasswordUtils.encode(password);
System.out.println("PBKDF2加密后: " + hash);
System.out.println("匹配結(jié)果: " + PasswordUtils.matches(password, hash));
}優(yōu)劣勢(shì)：
- ? 兼容性好，支持迭代配置；
- ? 設(shè)置相對(duì)復(fù)雜。
3、使用 Argon2 保護(hù)密碼（現(xiàn)代首選）
背景說明：Argon2 是密碼哈希競(jìng)賽的冠軍，專為現(xiàn)代系統(tǒng)安全設(shè)計(jì)，是目前公認(rèn)的最強(qiáng)哈希算法之一。
引入依賴：
<!-- /src/main/resources/pom.xml -->
<dependency>
<groupId>org.springframework.security</groupId>
<artifactId>spring-security-crypto</artifactId>
</dependency>核心代碼：
import org.springframework.security.crypto.argon2.Argon2PasswordEncoder;
public class PasswordUtils {
private static final Argon2PasswordEncoder encoder = new Argon2PasswordEncoder();
public static String encode(String rawPassword) {
return encoder.encode(rawPassword);
}
public static boolean matches(String rawPassword, String encodedPassword) {
return encoder.matches(rawPassword, encodedPassword);
}
}控制臺(tái)輸出測(cè)試：
public static void main(String[] args) {
String pwd = "mypassword";
String encoded = PasswordUtils.encode(pwd);
System.out.println("Argon2加密后：" + encoded);
System.out.println("匹配結(jié)果：" + PasswordUtils.matches(pwd, encoded));
}分析：
- ? 安全性極高，能抵抗 GPU 暴力破解；
- ? 性能消耗大，部分舊設(shè)備不支持。
4、采用 SCrypt：內(nèi)存型算法對(duì)抗硬件攻擊
SCrypt 的設(shè)計(jì)重點(diǎn)是通過占用大量?jī)?nèi)存來防御并行攻擊，尤其對(duì)抗顯卡加速的暴力嘗試非常有效。
代碼實(shí)現(xiàn)：
import org.springframework.security.crypto.scrypt.SCryptPasswordEncoder;
public class PasswordUtils {
private static final SCryptPasswordEncoder encoder = new SCryptPasswordEncoder();
public static String encode(String rawPassword) {
return encoder.encode(rawPassword);
}
public static boolean matches(String rawPassword, String encodedPassword) {
return encoder.matches(rawPassword, encodedPassword);
}
}驗(yàn)證示例：
public static void main(String[] args) {
String origin = "mypassword";
String hash = PasswordUtils.encode(origin);
System.out.println("SCrypt加密結(jié)果：" + hash);
System.out.println("匹配情況：" + PasswordUtils.matches(origin, hash));
}優(yōu)缺點(diǎn)：
- ? 超強(qiáng)抗攻擊能力；
- ? 加密成本高，不適合性能敏感的系統(tǒng)。
5、手動(dòng)實(shí)現(xiàn) SHA-256 + 隨機(jī)鹽值
雖然 SHA-256 本身不夠安全，但通過加入 salt 和迭代處理可以提升保護(hù)能力。
手工實(shí)現(xiàn)加密邏輯：
import java.security.MessageDigest;
import java.security.SecureRandom;
import java.util.Base64;
public class PasswordUtils {
public static String generateSalt() {
byte[] salt = new byte[16];
new SecureRandom().nextBytes(salt);
return Base64.getEncoder().encodeToString(salt);
}
public static String hashPassword(String password, String salt) {
try {
MessageDigest digest = MessageDigest.getInstance("SHA-256");
byte[] result = digest.digest((salt + password).getBytes());
for (int i = 0; i < 1000; i++) {
result = digest.digest(result);
}
return Base64.getEncoder().encodeToString(result);
} catch (Exception e) {
throw new RuntimeException("哈希失敗", e);
}
}
public static boolean matches(String rawPassword, String salt, String hashedPassword) {
return hashPassword(rawPassword, salt).equals(hashedPassword);
}
}測(cè)試程序：
public static void main(String[] args) {
String pwd = "mypassword";
String salt = PasswordUtils.generateSalt();
String hashed = PasswordUtils.hashPassword(pwd, salt);
System.out.println("生成鹽值: " + salt);
System.out.println("SHA-256+Salt 加密: " + hashed);
System.out.println("匹配情況: " + PasswordUtils.matches(pwd, salt, hashed));
}總結(jié)分析：
- ? 實(shí)現(xiàn)簡(jiǎn)單，適合與舊系統(tǒng)集成；
- ? 不抗彩虹表攻擊，必須管理好鹽值。
對(duì)比總結(jié)
方法 | 安全性 | 性能 | 適用情況 |
BCrypt | 高 | 中 | 推薦用于通用系統(tǒng) |
PBKDF2 | 高 | 中 | 適用于企業(yè)級(jí)復(fù)雜環(huán)境 |
Argon2 | 極高 | 較低 | 對(duì)安全性要求極高的應(yīng)用 |
SCrypt | 極高 | 較低 | 抵御硬件加速暴力破解 |
SHA-256 + Salt | 中 | 高 | 安全性可控的內(nèi)網(wǎng)系統(tǒng)或老舊系統(tǒng) |
最佳實(shí)踐建議
- ? 普通場(chǎng)景首選：BCrypt 是性價(jià)比最優(yōu)的方案；
- ?? 對(duì)安全性要求極致：請(qǐng)選擇 Argon2 或 SCrypt；
- ?? 兼容舊系統(tǒng)：可以考慮 SHA-256 + salt，但必須加上防御機(jī)制。
無需再存明文密碼，讓你的系統(tǒng)從此具備防彈級(jí)的安全加密體系！
責(zé)任編輯：武曉燕
來源：
路條編程
