Spring Boot如何使用BCrypt实现用户认证与登录功能

可行点 #

• 采用BCrypt做密码哈希是当前行业通用的安全方案，算法自带随机盐，可抵御彩虹表攻击，加密强度符合要求
• 密码加密逻辑放在Controller层执行，避免明文密码在Service层流转，降低密码泄露风险
• 邮箱唯一性校验逻辑下沉到Service层，符合单一职责原则，后续其他业务调用用户保存逻辑时可复用校验规则

可优化点 #

• 建议单独抽取UserRegisterDTO作为注册接口入参，不要直接用数据库实体类User做入参，避免前端恶意传入id、角色权限等非注册字段直接写入数据库
• 邮箱唯一性校验需要补充数据库唯一索引，防止并发场景下两个相同邮箱的注册请求同时通过校验，导致重复数据入库
• 注册接口响应建议补充明确的成功标识，不要直接返回null，降低前端处理成本

后端实现步骤 #

1. 新增登录专用入参DTO，仅接收邮箱和明文密码两个字段
2. 在UserService接口中新增User findByEmail(String email)方法，同时在UserServiceImpl中实现该方法直接调用Repository的findByEmail查询
3. 新增登录接口逻辑：
   • 接收前端传入的邮箱和密码参数
   • 根据邮箱查询用户，若查不到直接返回账号或密码错误，不要明确提示账号不存在，防止被攻击者暴力枚举有效账号
   • 调用passwordEncoder.matches(前端传入的明文密码, 数据库存储的加密密码)方法做密码校验，校验不通过同样返回账号或密码错误
   • 校验通过后生成登录凭证，两种主流方案可按需选择：
     • Session方案：Spring Security原生支持，用户信息存入服务端Session，自动下发Cookie给前端，适合中小项目，开发成本低
     • JWT方案：生成携带用户ID、角色等信息的JWT令牌返回给前端，适合前后端分离项目，跨域适配更友好
4. 登录接口代码参考：

@PostMapping("/login")
public ResponseEntity<Map<String, Object>> login(@RequestBody UserLoginDTO loginDTO) {
    User user = userService.findByEmail(loginDTO.getEmail());
    if (user == null || !passwordEncoder.matches(loginDTO.getPassword(), user.getPassword())) {
        return new ResponseEntity<>("账号或密码错误", HttpStatus.UNAUTHORIZED);
    }
    // 此处替换为你选择的凭证生成逻辑，示例为JWT生成
    String token = jwtUtil.generateToken(user.getId(), user.getEmail(), user.getRole());
    Map<String, Object> result = new HashMap<>();
    result.put("token", token);
    result.put("nickname", user.getNickname());
    return new ResponseEntity<>(result, HttpStatus.OK);
}

前端Angular实现步骤 #

• 开发登录表单页面，绑定邮箱、密码输入框，添加非空、邮箱格式等基础校验
• 提交登录请求，请求成功后把后端返回的token、用户信息存入localStorage或sessionStorage
• 配置全局HTTP拦截器，所有后续业务请求自动在请求头添加Authorization: Bearer ${token}
• 配置路由守卫，未登录状态下拦截需要权限的页面跳转，强制跳转到登录页
• 新增退出登录逻辑，清除本地存储的token和用户信息即可

内容的提问来源于stack exchange，提问作者LesmoTV