Flutter中如何使用Object Box加密存储登录密码字段？

核心思路 #

和MySQL存储密码的逻辑一致：永远不存储明文密码，在存入数据库前对密码进行哈希处理，登录时对比输入密码的哈希值与存储的哈希值。Object Box本身不提供密码哈希功能，我们可以通过第三方库实现哈希后再存储。

步骤实现 #

1. 选择哈希算法

推荐使用bcrypt（MySQL后期版本也推荐使用，属于慢哈希算法，能有效抵御暴力破解），也可以选择Argon2。这里以bcrypt为例。

2. 添加依赖

在pubspec.yaml中添加所需包：

dependencies:
  objectbox: ^2.2.0
  bcrypt: ^1.1.3

3. 定义Object Box实体

实体中只存储哈希后的密码字段，不保留明文：

import 'package:objectbox/objectbox.dart';

@Entity()
class User {
  int id = 0;
  String username;
  // 存储哈希后的密码
  String hashedPassword;

  User({required this.username, required this.hashedPassword});
}

4. 注册时哈希密码并存储

生成盐并对明文密码哈希，再存入Object Box：

import 'package:bcrypt/bcrypt.dart';

void registerUser(String username, String plainPassword) {
  // 自动生成盐，bcrypt会将盐包含在最终的哈希值中
  String salt = BCrypt.gensalt();
  String hashedPassword = BCrypt.hashpw(plainPassword, salt);
  
  final user = User(username: username, hashedPassword: hashedPassword);
  // 假设objectBox是你的Object Box实例，userBox是对应的Box
  objectBox.userBox.put(user);
}

5. 登录时验证密码

获取输入密码，哈希后与存储的哈希值对比：

bool validateLogin(String username, String plainPassword) {
  // 根据用户名查询用户
  final user = objectBox.userBox
      .query(User_.username.equals(username))
      .build()
      .findFirst();
  
  if (user == null) return false;
  
  // 验证输入密码的哈希是否与存储的一致
  return BCrypt.checkpw(plainPassword, user.hashedPassword);
}

关键注意点 #

• 不要手动实现哈希逻辑，依赖成熟的第三方库避免安全漏洞。
• bcrypt的哈希值已包含盐，无需单独存储盐，简化存储逻辑。
• 如果需要加密整个Object Box数据库，可以开启Object Box的内置加密功能，但这和密码字段的哈希是两个层面的安全措施，可以结合使用。

内容的提问来源于stack exchange，提问作者Blf Medaymen