Spring Security密码未编码 BCryptPasswordEncoder配置无效问题

你贴的SecurityConfig里关于BCryptPasswordEncoder的配置本身没有语法错误，密码明文存储的核心原因是：Spring Security中配置的PasswordEncoder仅作用于登录认证环节的密码比对逻辑，不会自动拦截用户注册流程、替你完成密码加密后再落库。
这是Spring Security初学者最常见的认知误区：很多人以为只要把PasswordEncoder注册成Bean，框架就会自动处理所有密码存储的加密逻辑，实际上注册接口属于你自己实现的业务代码，加密逻辑必须手动调用编码器完成。

• 补全注册业务层的密码加密逻辑
  找到你处理用户注册的Service代码，注入容器中已经配置好的PasswordEncoder，在用户信息写入数据库之前，手动调用encode()方法处理前端传入的明文密码。参考实现：

  @Service
  public class UserServiceImpl implements UserService {
      @Autowired
      private PasswordEncoder passwordEncoder;
      @Autowired
      private UserDao userDao;
  
      @Override
      public void userRegister(UserRegisterParam param) {
          UserEntity user = new UserEntity();
          user.setUsername(param.getUsername());
          // 必须手动执行加密，再将密文存入数据库
          user.setPassword(passwordEncoder.encode(param.getPlainPassword()));
          // 其余用户属性赋值逻辑省略
          userDao.insert(user);
      }
  }
  

• 优化SecurityConfig的注入写法，避免编码器实例不一致
  你当前在configure(AuthenticationManagerBuilder auth)方法中直接调用this.passwordEncoder()获取实例的写法存在隐患，可能因为Spring配置类的代理机制导致认证环节用的编码器和业务层注入的编码器不是同一个对象。直接通过依赖注入获取PasswordEncoder实例即可：

  // 直接注入容器中的PasswordEncoder Bean
  @Autowired
  private PasswordEncoder passwordEncoder;
  
  @Override
  protected void configure(AuthenticationManagerBuilder auth) throws Exception {
      auth.userDetailsService(userDetailsService)
          .passwordEncoder(passwordEncoder);
  }
  

• 修正权限配置的安全隐患
  你当前HTTP权限配置中写的.antMatchers(HttpMethod.POST).permitAll()会放行所有POST类型的接口，不仅会导致注册接口匿名可访问，还会把所有需要鉴权的POST类操作接口全部放开，存在严重的权限绕过风险。请将这行配置改为精确匹配你需要匿名访问的POST接口路径，例如：

  http.csrf().disable()
          .authorizeRequests()
          .antMatchers("/generate-token").permitAll()
          // 精确放行注册接口，不要直接放行所有POST请求
          .antMatchers(HttpMethod.POST, "/api/user/register").permitAll()
          .antMatchers(HttpMethod.OPTIONS).permitAll()
          .anyRequest().authenticated()
          .and()
          .exceptionHandling().authenticationEntryPoint(unauthorizedHandler)
          .and()
          .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);
  

修改完成后重启服务，新注册一个测试账号，查询数据库中对应用户的password字段，若值为$2a$开头的60位长度BCrypt密文串，说明加密逻辑生效。此时走登录流程，Spring Security会自动使用BCryptPasswordEncoder比对前端传入的明文密码和数据库存储的密文，认证流程可正常执行。

内容的提问来源于stack exchange，提问作者Palak Kharbanda