Spring Security 「id为null的PasswordEncoder无映射」报错修复咨询

There is no PasswordEncoder mapped for the id "null" 是Spring Security 5.x及以上版本触发的强制安全校验异常：框架要求所有密码校验逻辑必须绑定明确的加密实现，当JDBC认证链路没有显式配置密码编码器时，会默认尝试匹配id为null的加密器，找不到对应实现就会抛出映射不存在的错误。

注意：该问题和你配置的HttpSecurity访问控制规则无关联，不需要修改接口权限匹配相关的代码。

1. 为认证链路显式配置密码编码器 #

生产环境优先选用BCryptPasswordEncoder，这是Spring Security官方推荐的强哈希加密实现，内置随机盐值可有效抵御彩虹表攻击。
修改你的认证配置类代码：

@Autowired
DataSource dataSource;

// 声明全局密码编码器Bean
@Bean
public PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}

@Autowired
public void configAuthentication(AuthenticationManagerBuilder auth) throws Exception {
    auth.jdbcAuthentication().dataSource(dataSource)
            .usersByUsernameQuery("select username, password, enabled from users where username=?")
            .authoritiesByUsernameQuery("select username, role from user_roles where username=?")
            // 显式绑定密码编码器，这是解决当前报错的核心操作
            .passwordEncoder(passwordEncoder());
}

2. 同步调整数据库存储的密码格式 #

BCrypt是单向哈希算法，无法逆向解密，你需要提前将users表中存储的明文密码替换为对应BCrypt加密后的哈希值：

• 比如原明文密码为123456，经过BCrypt加密后会生成类似$2a$10$dXo6pR8wGQeT2sY9eL3uN7bC4vA1dE5fG8hJ2kL9mN3pQ7rS1tU的字符串，这类字符串内部已经包含加密算法版本、随机盐值、哈希结果，校验时无需额外存储独立的盐字段。

• 禁止在生产环境使用已废弃的NoOpPasswordEncoder（明文比对编码器），该实现仅适用于本地临时测试，直接使用会导致数据库密码完全以明文形式暴露，存在极高安全风险。
• 如果历史数据库已经存储了MD5、SHA-1等哈希格式的密码，不要直接切换到BCrypt导致线上校验失败，可以临时适配对应哈希算法的编码器，后续通过用户主动改密的流程逐步迁移到BCrypt加密体系。

内容的提问来源于stack exchange，提问作者Esmer Omer