如何在Spring Boot中对用户注册密码进行加密？

1. 引入Spring Security依赖 #

Spring Security提供了成熟的密码加密工具，在pom.xml中添加依赖：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

2. 配置密码加密器Bean #

创建配置类注册BCrypt加密器（BCrypt是当前推荐的哈希算法，自带盐值，无需手动处理）：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

@Configuration
public class SecurityConfig {

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

3. 修改服务类实现加密与校验逻辑 #

在userService中注入加密器，修改用户保存时的密码加密逻辑，同时登录时用加密器的matches方法校验密码（禁止直接对比明文与密文）：

@AllArgsConstructor
@Service
public class userService {
    private userReporsitory userReporsitory;
    private PasswordEncoder passwordEncoder; // 注入加密器

    public User saveUser(User user){
        // 对用户输入的明文密码加密后再保存
        user.setPassword(passwordEncoder.encode(user.getPassword()));
        return userReporsitory.save(user);    
    }

    public User login(User user){
          User response = userReporsitory.findByEmail(user.getEmail()).orElseThrow(() -> new RuntimeException("User Not Found"));
          
          // 用加密器校验明文密码与数据库中的密文是否匹配
          if(!passwordEncoder.matches(user.getPassword(), response.getPassword())){
            throw new RuntimeException("Bad Credentials");
          }

          // 敏感数据处理：返回用户信息时清空密码字段，避免泄露
          response.setPassword(null);
          return response;
    }

    public List<User> findAllUsers(){
      List<User> users = userReporsitory.findAllByRole("user");
      // 用户列表返回时同样清空密码
      users.forEach(user -> user.setPassword(null));
      return users;
    }
}

额外优化建议 #

• 敏感数据防护：所有返回前端的用户对象必须清空password字段，禁止泄露密文或明文密码
• 命名规范修正：遵循Java命名规范，将userReporsitory改为UserRepository（类名首字母大写），提升代码可读性
• 异常处理优化：替换RuntimeException为自定义业务异常，配合全局异常处理器返回更规范的错误响应
• 权限控制扩展：后续可结合Spring Security实现基于角色的接口访问限制

内容的提问来源于stack exchange，提问作者Nithisha Perera