BCrypt.checkpw验证失败求助：预期匹配却返回false

以下是针对你遇到的BCrypt验证不匹配问题的具体排查步骤：

1. 验证存储的哈希是否真的对应明文密码 #

编写独立测试代码，用相同的JBcrypt 0.4版本生成9999999的哈希，对比日志中的存储哈希：

import org.mindrot.jbcrypt.BCrypt;

public class BCryptTest {
    public static void main(String[] args) {
        String plainPassword = "9999999";
        String generatedHash = BCrypt.hashpw(plainPassword, BCrypt.gensalt(10));
        System.out.println("Generated hash for 9999999: " + generatedHash);
        System.out.println("Match check: " + BCrypt.checkpw(plainPassword, "$2a$10$0ATPkyNqcXT8u3RTfoX7BuOzxuTvuNnVH5dgqjVc4agIKHglv7SAC"));
    }
}

如果输出的Match check为false，说明存储的哈希根本不是9999999的哈希，问题出在用户创建阶段的密码获取逻辑。

2. 检查用户创建时的密码来源是否正确 #

你的createUser方法中：

String plaintextPassword = user.getPasswordHash(); // Use getPasswordHash, not getPassword

这里存在逻辑风险：

• 确认前端传递的JSON中，密码字段是passwordHash还是password？如果前端实际传的是password字段，那么user.getPasswordHash()会拿到空值或默认值，导致哈希的是错误内容。
• 临时修改代码，打印plaintextPassword的值，确认创建用户时传入的明文密码确实是9999999。

3. 排查数据库存储的哈希是否被篡改 #

Oracle数据库的VARCHAR2字段可能存在以下问题：

• 隐式空格填充：如果字段定义为VARCHAR2(60 CHAR)但实际存储的哈希长度不足60，Oracle可能自动补空格；或者读取时带 trailing spaces。在checkPassword方法中临时修改代码，尝试去除空格后验证：

boolean isMatch = BCrypt.checkpw(password, passwordHash.trim());

• 字段长度截断：虽然BCrypt哈希固定为60字符，但确认数据库中存储的值是否完整。直接执行SQL查询：

SELECT passwordHash, LENGTH(passwordHash) FROM YOUR_USER_TABLE WHERE username = 'UNIUSER';

如果长度不是60，说明哈希被截断，需确认字段定义是否为VARCHAR2(60 CHAR)而非字节限制（如VARCHAR2(60 BYTE)）。

4. 验证密码字符串是否存在隐藏字符 #

前端传递的密码可能包含不可见字符（如换行、空格、全角字符），导致后端拿到的字符串与预期不符：

• 在login方法中添加日志，打印密码的长度和字节数组：

System.out.println("Password length: " + password.length());
System.out.println("Password bytes: " + Arrays.toString(password.getBytes(java.nio.charset.StandardCharsets.UTF_8)));

9999999的长度应为7，UTF-8字节数组应为[57, 57, 57, 57, 57, 57, 57]。如果不符，说明前端传递的密码存在异常。

5. 排查JBcrypt版本或编码问题 #

• JBcrypt 0.4版本存在部分已知兼容问题，可尝试临时升级到最新稳定版（如0.11.0）测试是否解决问题。
• 确认后端处理字符串时使用的编码为UTF-8，避免因编码转换导致密码字节不一致。

6. 检查ORM映射是否修改了哈希值 #

如果使用JPA/Hibernate等ORM框架，确认passwordHash字段的映射配置：

• 未添加不必要的转换器（如加密/解密转换器）。
• 字段定义的长度正确，未设置@Column(length = 255)以外的限制（虽然你已调整过，但需确认生效）。

内容的提问来源于stack exchange，提问作者radriaansNES