Spring PasswordEncoder如何给明文加盐？Remix.js迁移遇哈希匹配问题

核心问题是你错误地将明文字符串与盐的Base64编码字符串拼接后哈希，而Spring的PasswordEncoder实际是将明文的字节数组与盐的原始字节数组（解码Base64后的）拼接后再计算哈希。

修正后的JavaScript代码 #

import { createHash } from 'crypto';

interface PasswordInfo {
  salt: string;
  hash: string;
}

const compare_sha256 = (attempt: string, info: PasswordInfo): boolean => {
  let attemptHash;
  if (info.salt) {
    // 解码盐的Base64字符串为原始字节数组
    const saltBytes = Buffer.from(info.salt, 'base64');
    // 将明文转换为UTF-8编码的字节数组
    const attemptBytes = Buffer.from(attempt, 'utf8');
    // 拼接明文字节与盐字节
    const saltedBytes = Buffer.concat([attemptBytes, saltBytes]);
    // 计算SHA256哈希并转为十六进制字符串
    attemptHash = createHash('sha256').update(saltedBytes).digest('hex');
  } else {
    attemptHash = createHash('sha256').update(attempt).digest('hex');
  }
  console.log({ attemptHash, actualHash: info.hash });
  return attemptHash === info.hash;
};

验证逻辑 #

用你提供的示例数据测试：

• 明文：password
• 盐的Base64字符串：1htkE/1MXKL7uqfqhOC2SI39YzX2lEsd96BqJCHTUCs=
• 目标哈希：9f62dbe07df8ac7f049cdb1ae1291b02f2d1ea645c7f4df9a1235e93a0f213bd

修正后的代码会正确拼接password的UTF-8字节和盐的原始字节，计算出的哈希会与目标哈希完全匹配。

关键逻辑说明 #

Spring的Sha256PasswordEncoder这类加密组件的核心流程是：

1. 生成随机的二进制盐（字节数组）
2. 将明文转换为UTF-8字节数组，与盐字节数组直接拼接
3. 对拼接后的字节数组计算SHA256哈希
4. 最终存储格式为{算法标识}{Base64编码的盐}{十六进制哈希}

你之前的错误在于直接拼接字符串，相当于把盐的Base64字符（比如/、=）当成了明文的一部分参与哈希，而非使用盐的原始二进制数据，这就导致哈希结果不一致。

内容的提问来源于stack exchange，提问作者Pinwheeler