Spring Boot中BCrypt的matches方法密码验证失败问题排查

核心问题排查与修复步骤 #

1. 修复UserPrincipal的账号状态方法 #

你的UserPrincipal中所有账号状态方法都返回false，这会导致即使密码匹配成功，Spring Security也会判定账号不可用。虽然当前抛出的是密码错误异常，但这是必须修复的隐患，同时可能间接影响认证流程：

@Override
public boolean isAccountNonExpired() {
    return true; // 根据业务需求调整，默认账号未过期
}

@Override
public boolean isAccountNonLocked() {
    return true; // 默认账号未锁定
}

@Override
public boolean isCredentialsNonExpired() {
    return true; // 默认凭证未过期
}

@Override
public boolean isEnabled() {
    return true; // 默认账号启用
}

@Override
public Collection<? extends GrantedAuthority> getAuthorities() {
    return Collections.emptyList(); // 返回空集合而非null，避免空指针
}

2. 检查密码是否被重复加密 #

这是最可能导致密码匹配失败的原因：

• 确认创建用户时，前端传入的UserDTO.password是明文密码，而非已加密的字符串。
• 查看convertToUser方法，确保没有在转换过程中对密码进行加密操作。
• 验证数据库中存储的密码格式：BCrypt哈希值通常以$2a$或$2b$开头，长度约60位。如果数据库中的密码长度不符合，说明密码被重复加密了。

3. 验证ModelMapper的映射正确性 #

在loadUserByUsername方法中添加日志，打印转换后的UserPrincipal的密码，确认是否与数据库中存储的哈希值一致：

@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
   UserDTO user = this.getUserByUsername(username);
    User anUser = convertToUser(user);
    ModelMapper modelMapper = new ModelMapper();
    UserPrincipal principal = modelMapper.map(anUser, UserPrincipal.class);
    // 添加日志打印，确认密码是否正确
    System.out.println("数据库存储的哈希密码: " + principal.getPassword());
    return principal;
}

如果打印出的密码是明文，说明getUserByUsername返回的UserDTO密码未正确读取数据库中的哈希值，需要检查数据查询逻辑。

4. 调试密码匹配过程 #

在CustomAuthProvider的authenticate方法中添加调试代码，手动验证匹配结果：

@Override
public Authentication authenticate(Authentication authentication) throws AuthenticationException {
    String username = authentication.getName();
    String rawPassword = authentication.getCredentials().toString();
    UserDetails userDetails = userServiceImpl.loadUserByUsername(username);
    String storedHash = userDetails.getPassword();

    // 调试打印
    System.out.println("输入的明文密码: " + rawPassword);
    System.out.println("数据库存储的哈希: " + storedHash);
    System.out.println("匹配结果: " + passwordEncoder.matches(rawPassword, storedHash));

    if (!passwordEncoder.matches(rawPassword, storedHash)) {
        throw new BadCredentialsException("Wrong password.");
    }

    return new UsernamePasswordAuthenticationToken(userDetails, rawPassword, userDetails.getAuthorities());
}

通过日志确认：

• 输入的明文密码是否正确
• 数据库存储的哈希是否符合BCrypt格式
• matches方法的返回值是否符合预期

5. 确保BCryptPasswordEncoder的配置一致性 #

虽然BCrypt的匹配逻辑不依赖Encoder实例，但确保项目中只配置一个BCryptPasswordEncoder Bean，避免因配置差异导致问题：

@Configuration
public class SecurityConfig {
    @Bean
    public BCryptPasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

总结 #

最可能的根源是密码被重复加密或UserPrincipal映射时密码未正确读取哈希值，通过上述调试步骤可以快速定位问题。同时，修复UserPrincipal的账号状态方法是保证认证流程正常的必要条件。

内容的提问来源于stack exchange，提问作者Gdepablo