【spring】Security 密码加密算法_springsecurity密码加密算法

Spring Security 提供了多种密码加密算法，用于在存储用户密码时进行加密，以增强安全性。

查看org.springframework.security.crypto.factory.PasswordEncoderFactories

以下是一些常用的密码加密算法：

1. BCryptPasswordEncoder：

   • 这是Spring Security推荐使用的密码加密算法。

   • BCrypt算法每次生成的加密结果都是不同的，即使密码相同，因为每次加密时都会加入一个随机生成的盐值。

   • 它使用10次循环（默认值，可以通过strength参数调整）来增加破解难度。

2. SHA-256/SHA-512PasswordEncoder：

   • 这些是基于SHA-256或SHA-512哈希算法的密码加密器。

   • 它们通常与盐值一起使用，以增加安全性。

3. StandardPasswordEncoder：

   • 这是基于SHA-256的加密器，它使用一个固定的盐值。

   • 由于它使用固定的盐值，因此不如BCryptPasswordEncoder安全。

4. Pbkdf2PasswordEncoder：

   • 基于PBKDF2（Password-Based Key Derivation Function 2）算法的加密器。

   • PBKDF2通过使用一个伪随机函数（如HMAC）和盐值来生成加密的密码。

5. SCryptPasswordEncoder：

   • 基于SCrypt算法的加密器，这是一种内存密集型算法，旨在防止硬件暴力破解攻击。

   • SCrypt在计算上比BCrypt更昂贵，因此更难以通过专用硬件进行破解。

在Spring Security中使用这些加密器时，通常需要在配置中指定要使用的加密器，并在存储用户密码时使用该加密器进行加密。例如，使用BCryptPasswordEncoder的配置如下：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
 
    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth
            .inMemoryAuthentication()
                .withUser("user")
                 // 使用BCrypt加密的密
                .password("{bcrypt}$2a$10$HxeSIgdEFxGpDRuwsu0w0e7AxEuRtgcWYiVk1k1lnr.1abkjZWuUm")码
                .roles("USER");
    }
}

在上述配置中，{bcrypt}前缀指定了使用BCrypt算法，后面的字符串是加密后的密码。在实际应用中，你需要使用BCryptPasswordEncoder的encode方法来生成这样的加密密码。

请注意，随着安全技术的发展，新的加密算法可能会被引入，而旧的算法可能会被认为不再安全。因此，始终建议使用最新的、被广泛认可的加密算法来保护用户密码。