Android Studio中如何使用BCryptPasswordEncoder校验登录密码

• 生产环境首选：服务端完成密码校验
  你完全没必要在Android端找BCryptPasswordEncoder这个类做密码匹配。正常线上登录逻辑绝不会把数据库里存的BCrypt密码密文传到客户端做本地校验，这本身就有极大的数据泄露风险。
  标准登录流程根本不涉及客户端BCrypt计算：

  1. Android端收集用户输入的账号、明文密码
  2. 客户端通过HTTPS接口将账号、明文密码提交给Spring Boot后端
  3. 后端根据账号查询数据库拿到对应存储的BCrypt密文，调用BCryptPasswordEncoder.matches(前端传入明文, 库中密文)完成校验
  4. 后端将登录结果、身份凭证返回给Android端即可
     别尝试硬扒Spring Security里的BCryptPasswordEncoder类塞到Android项目里，这个类绑定了大量Spring核心依赖，引入后会出现一堆依赖冲突、类找不到的问题，纯纯浪费时间。

• 特殊场景本地校验方案（仅用于离线登录等非核心场景）
  如果你确实有离线登录这类强需求，必须在Android本地完成密码和本地存储BCrypt密文的匹配，直接引入独立的jBCrypt库即可，这个库和Spring Security的BCrypt实现100%兼容（Spring Security本身的BCrypt逻辑就是基于jBCrypt改造的，生成的密文格式完全通用），没有多余依赖：

  1. 在app模块的build.gradle依赖块中添加依赖：

  dependencies {
      implementation 'de.svenkubiak:jBCrypt:0.4.3'
  }
  

  2. 密码匹配直接调用对应方法即可：

  // userInputPwd 为用户输入的明文密码
  // storedBcryptHash 为本地存储的BCrypt密文（和Spring后端生成格式一致）
  boolean isPasswordCorrect = BCrypt.checkpw(userInputPwd, storedBcryptHash);
  

  注意：本地存储BCrypt密文时必须配合Android的安全存储组件加密存放，不要明文落盘，避免被逆向获取后被暴力破解。

内容的提问来源于stack exchange，提问作者Mohammed Haydar