Spring Boot中BCryptPasswordEncoder相同明文加密结果不同原因及解决方法

相同明文密码每次调用encode()得到不同密文是BCrypt算法的正常设计，并非代码bug。
BCrypt在执行加密时，会每次自动生成全局唯一的随机盐值（salt），最终返回的密文字符串本身就包含了版本标识、盐值、加密哈希结果三部分内容。因为每次生成的随机盐不同，哪怕输入的明文密码完全一致，最终输出的完整密文也会不一样。这种设计是为了避免彩虹表攻击，大幅提升密码存储的安全性。
你写的静态方法中每次手动new BCryptPasswordEncoder实例的写法不会导致密文不一致，但属于冗余写法，不符合Spring容器的Bean管理规范，会产生不必要的对象创建开销。

• 密码校验阶段绝对不能将用户输入的明文加密后，和数据库存储的密文直接做字符串等值比较。直接调用PasswordEncoder提供的matches(明文密码, 已存储密文)方法完成校验即可。该方法会自动从已存储的密文中解析出加密时使用的盐值，用相同规则对输入明文做加密后再比对哈希值，只要明文匹配，无论密文生成时的随机盐是什么，都会返回true。
  校验逻辑参考代码：

  // 注入配置类中注册的PasswordEncoder Bean，不要每次新建实例
  @Autowired
  private PasswordEncoder passwordEncoder;
  
  public boolean verifyPassword(String inputPwd, String storedPwd) {
      return passwordEncoder.matches(inputPwd, storedPwd);
  }
  

• 废弃自定义的静态encodePassword方法，加密逻辑统一使用注入的PasswordEncoder Bean调用encode()方法实现。后续如果需要调整加密算法、加密强度，只需要修改SecurityConfig中PasswordEncoder的Bean定义即可，不需要改动业务层代码。
  加密逻辑参考代码：

  @Autowired
  private PasswordEncoder passwordEncoder;
  
  public void registerUser(String username, String plainPwd) {
      User newUser = new User();
      newUser.setUsername(username);
      // 生成密文直接存入数据库即可，不需要额外处理盐值
      newUser.setPassword(passwordEncoder.encode(plainPwd));
      userMapper.insert(newUser);
  }
  

• 可以根据业务的安全要求和服务器性能调整BCrypt的加密强度，默认强度为10，取值范围为4-31，数值越高加密耗时越长、抗暴力破解能力越强，构造Bean时传入参数即可生效，示例：

  @Bean
  public PasswordEncoder getPasswordEncoder(){
      // 加密强度设置为12，可根据实际场景调整
      return new BCryptPasswordEncoder(12);
  }
  

内容的提问来源于stack exchange，提问作者Shark44