使用Spring Security时数据库密码字段应设置多长？

一、主流加密算法对应的存储长度 #

Spring Security官方推荐的默认加密算法是BCrypt，它加密后的密码格式固定为$2a$10$xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx，总长度为60个字符。

如果考虑兼容其他算法：

• Argon2：加密后字符串长度通常在90-120字符区间，建议字段长度设为120
• PBKDF2：默认配置下加密结果约80字符，建议设为100以上

如果只使用BCrypt，字段长度设为60就足够；要兼容多算法的话，120的长度能覆盖绝大多数场景。

二、数据库字段配置调整 #

你当前代码中password字段的length=120完全满足需求，无需修改。如果仅用BCrypt，也可以改成length=60更精准。调整后的示例代码：

@Entity
@EqualsAndHashCode(callSuper = true)
public class User extends Person {

    @Column(length = 50, nullable = false, unique = true)
    private String username;

    // 仅用BCrypt设为60，兼容多算法保留120
    @Column(length = 60, nullable = false)
    private String password;
}

三、注册时的原始密码长度限制 #

用户输入的未加密原始密码没有强制上限，但从安全性和体验平衡角度：

• 建议设置最大100字符，超过这个长度对安全性提升有限，还会增加用户输入负担
• 同时必须设置最小长度（比如8位），搭配复杂度要求（大小写、数字、特殊字符组合），强化密码安全性

可以在注册请求的参数校验中添加限制，比如用JSR-380注解：

public class RegisterRequest {
    @NotBlank
    @Size(min = 8, max = 100)
    private String password;
    // 其他字段...
}

四、核心注意事项 #

• 绝对不能存储明文密码，必须通过Spring Security的PasswordEncoder加密后再存入数据库
• 若后续更换加密算法，要确保数据库字段长度能容纳新算法的加密结果，所以120的长度是更稳妥的兼容方案

内容的提问来源于stack exchange，提问作者user21263160