Tomcat DataSource Realm结合Jasypt与SHA-256登录验证失败问题

我来帮你捋捋这个问题——明明哈希规则（SHA-256、8字节盐、1000次迭代）完全对应，但Tomcat Realm就是验证失败，大概率是两者在哈希存储格式、盐的处理逻辑上有细节差异，我给你拆解排查和解决步骤：

1. 先确认Jasypt生成哈希的具体结构 #

你说最终存在数据库的是80字符十六进制值，这个长度刚好是「8字节盐（转十六进制是16字符）」+「SHA-256哈希（转十六进制是64字符）」的总和。现在你要明确：

• 你的Jasypt代码是把盐的十六进制字符串放在哈希前面，还是哈希放在盐前面？
  比如是[16位盐][64位哈希]，还是[64位哈希][16位盐]？这个是核心，Tomcat对盐的位置有严格要求。

如果你不确定，可以翻下Jasypt的生成代码：如果是手动把盐和哈希拼接，看拼接顺序；如果是用Jasypt默认的格式化输出，你可能是去掉了分隔符（比如Jasypt默认会输出$SHA-256$1000$[盐]$[哈希]这种带分隔符的格式，你手动去掉了分隔符只保留盐+哈希）。

2. 用Tomcat推荐的CredentialHandler精确匹配规则 #

Tomcat 8.5及以上版本，官方推荐用CredentialHandler替代Realm的digest属性，能更精准配置哈希规则，避免旧版Realm的兼容性问题。

在你的Tomcat配置文件（conf/server.xml或应用的META-INF/context.xml）里，修改Realm配置如下：

<Realm className="org.apache.catalina.realm.DataSourceRealm"
       dataSourceName="jdbc/你的数据源名称"
       userTable="用户表名" userNameCol="用户名列名" userCredCol="密码列名"
       userRoleTable="用户角色表名" roleNameCol="角色列名">
  <!-- 核心配置：完全匹配Jasypt的哈希规则 -->
  <CredentialHandler className="org.apache.catalina.realm.MessageDigestCredentialHandler"
                     algorithm="SHA-256"
                     iterations="1000"
                     saltSizeBytes="8"
                     encoding="hex"
                     saltStyle="PREPENDED"/> <!-- 盐在哈希前面用PREPENDED，盐在后面用APPENDED -->
</Realm>

这里的关键参数：

• saltStyle：必须和你Jasypt生成的哈希中盐的位置一致，配反了肯定验证失败
• encoding="hex"：对应你存储的十六进制哈希值
• 其他参数（算法、迭代次数、盐长度）完全对齐Jasypt的配置

3. 手动验证哈希一致性（快速定位问题） #

如果还是不行，你可以写个简单的测试代码，对比Jasypt和Tomcat CredentialHandler的生成/验证逻辑：

用Jasypt生成测试哈希 #

import org.jasypt.digest.StringDigester;
import org.jasypt.util.password.StrongPasswordEncryptor;
import org.jasypt.util.text.BasicTextEncryptor;
import org.jasypt.util.encryption.pbe.StandardPBEStringEncryptor;
import org.jasypt.digest.StandardStringDigester;
import org.apache.commons.codec.binary.Hex;

import java.nio.charset.StandardCharsets;

public class JasyptTest {
    public static void main(String[] args) {
        String password = "test123";
        StandardStringDigester digester = new StandardStringDigester();
        digester.setAlgorithm("SHA-256");
        digester.setIterations(1000);
        digester.setSaltSizeBytes(8);
        
        // 生成盐和哈希的单独值，确认拼接顺序
        byte[] salt = digester.generateSalt();
        byte[] hashBytes = digester.digest(password.getBytes(StandardCharsets.UTF_8), salt);
        String saltHex = Hex.encodeHexString(salt);
        String hashHex = Hex.encodeHexString(hashBytes);
        String storedPassword = saltHex + hashHex; // 这里的拼接顺序就是你存到数据库的格式
        
        System.out.println("存储到数据库的哈希值：" + storedPassword);
    }
}

用Tomcat CredentialHandler验证 #

import org.apache.catalina.realm.MessageDigestCredentialHandler;
import org.apache.catalina.realm.SaltStyle;

public class TomcatCredentialTest {
    public static void main(String[] args) {
        String testPassword = "test123";
        String storedPassword = "上面Jasypt输出的80字符哈希值";
        
        MessageDigestCredentialHandler handler = new MessageDigestCredentialHandler();
        handler.setAlgorithm("SHA-256");
        handler.setIterations(1000);
        handler.setSaltSizeBytes(8);
        handler.setEncoding("hex");
        handler.setSaltStyle(SaltStyle.PREPENDED); // 先试这个，不行就换APPENDED
        
        boolean isValid = handler.matches(testPassword, storedPassword);
        System.out.println("验证结果：" + isValid); // 返回true说明配置正确
    }
}

如果这个测试返回false，直接调整saltStyle参数即可。

4. 其他可能的坑 #

• 字符编码不一致：Jasypt生成哈希时要确保用UTF-8编码处理密码（比如上面代码里的StandardCharsets.UTF_8），Tomcat CredentialHandler默认用UTF-8，编码不一致会导致哈希完全不同。
• 数据库字段截断：确保存储密码的字段是VARCHAR(80)或更长的类型，别因为字段长度不够把哈希值截断了。
• Realm数据源配置错误：检查dataSourceName、userTable、userCredCol这些参数是否正确，有没有读错数据库列。

内容的提问来源于stack exchange，提问作者macadam