JPA One-to-Many映射修改密码时PasswordHistory表未自动同步

你配置的@OneToMany级联生效的前提是：需要持久化的PasswordHistory实体必须被添加到User实体的passwordHistories关联集合中，你当前的改密逻辑只修改了User的password字段，没有构造新的PasswordHistory实例加入关联集合，JPA自然不会自动往密码历史表插入数据。
除此之外你的实体映射、业务逻辑还有几处会导致功能异常的问题，逐一修复即可。

1. 修正实体关联映射的配置错误 #

现有实体映射存在冗余和逻辑错误：

• PasswordHistory实体不需要单独存userId字段，这个外键值由JPA通过关联关系自动维护，单独映射该字段反而会导致值不同步、重复维护问题
• User侧的@OneToMany建议加上mappedBy属性，避免JPA生成不必要的中间关联表，把外键维护权交给子实体，同时配置orphanRemoval = false（密码历史记录需要永久留存，不能开启孤儿删除）
• PasswordHistory里的entrytime字段配置错误：@GeneratedValue是主键生成注解，不能用来生成时间戳，要改用时间自动填充注解，否则时间字段不会自动赋值
• 实体里的passwordHistories集合要提前初始化，避免后续add操作抛出空指针

修正后的User实体关联部分代码 #

// 其余注解、字段保持不变，仅修改passwordHistories映射
@OneToMany(cascade = CascadeType.ALL, mappedBy = "user", orphanRemoval = false)
List<PasswordHistory> passwordHistories = new ArrayList<>();

修正后的PasswordHistory实体代码 #

@Entity
@Table(name = "passwordhistory")
public class PasswordHistory {
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    @Column(name = "ID")
    private Long id;

    // 删除单独映射的userId字段，改为多对一关联User实体
    @ManyToOne(fetch = FetchType.LAZY)
    @JoinColumn(name = "USERID", referencedColumnName = "id", nullable = false)
    private User user;

    @JsonProperty
    @Column(name = "PASSWORD", nullable = false)
    @ApiModelProperty(name = "password", value = "Password of the user", required = true, example = "password", position = 2)
    private String password;

    // 修正时间自动填充配置，使用Hibernate提供的创建时间注解
    @CreationTimestamp
    @Column(name = "ENTRYTIME", nullable = false, updatable = false)
    private Timestamp entrytime;

    public PasswordHistory() {}

    // 新增便捷构造方法，简化历史记录生成逻辑
    public PasswordHistory(User user, String password) {
        this.user = user;
        this.password = password;
    }

    // 保留其余getter、setter
}

2. 补全新用户创建、改密时的历史密码写入逻辑 #

JPA不会自动生成密码历史记录，需要在密码变更的节点手动构造PasswordHistory对象加入关联集合：

注意：你原有代码的重复密码校验逻辑写反了，应该校验新密码是否和最近3次历史密码重复，而非校验旧密码，这个逻辑bug需要同步修复。

修正后的changePassword方法 #

public void changePassword(String username, String newpassword, String oldpassword) throws PasswordMismatchException, OldThreePasswordMatchException {
    User user = userRepository.findByUsername(username).orElseThrow(() -> new UsernameNotFoundException("User not found"));

    if (!oldpassword.equals(user.getPassword())) {
        throw new PasswordMismatchException("Old password incorrect");
    }

    List<PasswordHistory> passwordHistories = passwordHistoryRepository.findTop3ByUserIdOrderByEntrytimeDesc(user.getId());
    for (PasswordHistory passwordHistory : passwordHistories) {
        // 修正校验逻辑：判断新密码是否和历史重复
        if (newpassword.equals(passwordHistory.getPassword())) {
            throw new OldThreePasswordMatchException("Password should not match with last three passwords");
        }
    }

    // 构造新的密码历史记录，加入用户关联集合
    PasswordHistory newHistory = new PasswordHistory(user, newpassword);
    user.getPasswordHistories().add(newHistory);
    // 更新用户当前密码
    user.setPassword(newpassword);
    // 配置了级联后，save方法会自动持久化新增的PasswordHistory记录
    userRepository.save(user);
}

新用户创建逻辑补充 #

新增用户时也要同步初始化第一条密码历史记录，否则新用户入库时密码历史表不会生成对应数据：

// 新用户创建逻辑示例
public User createUser(String username, String password, String role) {
    User user = new User();
    user.setUsername(username);
    user.setPassword(password);
    user.setRole(role);
    // 初始化第一条密码历史
    user.getPasswordHistories().add(new PasswordHistory(user, password));
    return userRepository.save(user);
}

3. 临时兼容方案（不推荐） #

如果你暂时不想修改实体关联为双向映射，也可以不依赖JPA级联，在密码变更逻辑里直接调用passwordHistoryRepository.save()手动插入历史记录：

// 改密逻辑中更新user密码后，新增以下代码
PasswordHistory newHistory = new PasswordHistory();
newHistory.setUserId(user.getId());
newHistory.setPassword(newpassword);
passwordHistoryRepository.save(newHistory);

这种方式会导致实体关联集合和数据库数据不一致，后续查询用户历史密码需要手动查库，不符合JPA关联设计的规范，仅作为临时兼容使用。

• 你当前代码是明文存储密码，生产环境必须使用BCrypt等哈希算法加密存储，禁止明文保存密码
• 旧密码校验逻辑也要改为哈希值匹配，不能直接用equals比对明文
• Controller层接口配置的返回状态码冲突：@ApiResponse写的201和@ResponseStatus配置的200不一致，需要统一

内容的提问来源于stack exchange，提问作者Peaky Blinder