Spring Boot BCryptPassword认证无法通过BCrypt密文登录如何解决

Spring Security 默认的 DaoAuthenticationProvider 认证逻辑固定为：

1. 根据传入账号从存储层查询对应用户，拿到数据库存储的 BCrypt 密文密码
2. 将请求传入的密码参数作为明文处理，调用 BCrypt 算法哈希后，和数据库存储的密文做匹配校验
   你直接传入 BCrypt 密文作为密码参数时，框架会把这段密文当做明文再做一次 BCrypt 哈希，计算结果和数据库存储的密文完全不匹配，自然抛出 BadCredentialsException。

1. 自定义双模式密码编码器 #

不要直接使用原生 BCryptPasswordEncoder，扩展实现一个支持明文/密文双模式校验的编码器：如果传入的请求密码符合 BCrypt 密文格式，直接和数据库存储的密文做等值匹配；如果是普通明文，走原生 BCrypt 校验逻辑，兼容原有明文登录能力。

public class DualModePasswordEncoder extends BCryptPasswordEncoder {

    @Override
    public boolean matches(CharSequence requestPassword, String dbStoredEncodedPassword) {
        String requestPwd = requestPassword.toString();
        // BCrypt密文固定以$2a$/$2b$/$2y$作为前缀，以此区分传入的是明文还是密文
        if (requestPwd.startsWith("$2a$") || requestPwd.startsWith("$2b$") || requestPwd.startsWith("$2y$")) {
            // 传入密文场景：直接和数据库存储的密文做精确匹配
            return requestPwd.equals(dbStoredEncodedPassword);
        }
        // 传入明文场景：走原生BCrypt明文校验逻辑
        return super.matches(requestPassword, dbStoredEncodedPassword);
    }
}

2. 替换认证配置中的密码编码器 #

将 DaoAuthenticationProvider 中原来注入的原生 BCryptPasswordEncoder 替换为自定义的双模式编码器：

@Bean
public PasswordEncoder dualModePasswordEncoder() {
    return new DualModePasswordEncoder();
}

@Bean
public AuthenticationProvider daoAuthenticationProvider() {
    DaoAuthenticationProvider provider = new DaoAuthenticationProvider();
    // 替换为自定义双模式编码器
    provider.setPasswordEncoder(dualModePasswordEncoder());
    provider.setUserDetailsService(userDetailsService);
    return provider;
}

3. 优化原有认证逻辑冗余 #

原代码中 authenticationProvider.authenticate() 校验通过后，重复查询数据库判断用户是否存在属于冗余逻辑——认证流程本身已经完成了用户存在性校验，用户不存在会直接抛出认证异常，无需重复查库，同时不要捕获所有异常吞掉真实错误，精准捕获凭证异常即可：

@Override
public LoginResponse login(LoginRequest loginRequest) {
    String email = loginRequest.getEmail();
    String password = loginRequest.getPassword();
    try {
        authenticationProvider.authenticate(new UsernamePasswordAuthenticationToken(email, password));
        // 认证通过直接生成token返回
        return ResponseHandler.handleLoginResponse(LoginResponseEnums.SUCCESS, jwtTokenProvider.createToken(email));
    } catch (BadCredentialsException e) {
        // 仅捕获凭证错误异常返回对应提示
        return ResponseHandler.handleLoginResponse(LoginResponseEnums.PASSWORD_INCORRECT, "");
    }
}

注意：直接允许传入密文登录存在安全风险，生产环境开放该能力时，必须配套接口权限控制、IP白名单、请求频率限制等防护手段，避免密码密文泄露后被直接撞库登录。

内容的提问来源于stack exchange，提问作者LordCommander