Spring Security 5自动装配BCryptPasswordEncoder时提示找不到Bean

首先，你遇到的No Beans of type BCryptPasswordEncoder found报错，核心原因是Spring Security 5之后，框架不再自动注册BCryptPasswordEncoder作为容器中的Bean——这就是和旧版本最主要的区别之一。

为什么会有这个变化？ #

Spring Security 5推出了更安全的密码处理策略，默认使用DelegatingPasswordEncoder来支持多种密码编码格式（比如BCrypt、Argon2、PBKDF2等），不再默认提供单一的BCryptPasswordEncoder Bean，目的是鼓励开发者使用更灵活、更安全的密码管理方式。

快速解决自动装配问题 #

要解决这个报错，你只需要在你的Spring配置类（通常是继承WebSecurityConfigurerAdapter的SecurityConfig类，或者任意带@Configuration注解的类）中手动定义BCryptPasswordEncoder的Bean：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

@Configuration
public class SecurityConfig {

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

这样之后，你就可以在控制器、服务类中正常通过构造注入（推荐）或者@Autowired注入PasswordEncoder（推荐）或者BCryptPasswordEncoder来使用了：

@Service
public class UserService {

    private final PasswordEncoder passwordEncoder;

    // 构造注入（更符合Spring最佳实践）
    public UserService(PasswordEncoder passwordEncoder) {
        this.passwordEncoder = passwordEncoder;
    }

    // 用户注册时编码密码
    public User registerUser(User user) {
        user.setPassword(passwordEncoder.encode(user.getPassword()));
        // 保存用户到数据库
        return userRepository.save(user);
    }

    // 登录时验证密码
    public boolean validatePassword(String rawPassword, String encodedPassword) {
        return passwordEncoder.matches(rawPassword, encodedPassword);
    }
}

Spring Security 5中BCrypt相关的其他重要变化 #

• 强制密码编码器：旧版本中如果不指定密码编码器，可能会默认使用不安全的NoOpPasswordEncoder，但Spring Security 5会直接抛出异常，强制你明确指定密码编码器，避免不安全的默认配置。
• 密码前缀标识：DelegatingPasswordEncoder会自动给编码后的密码添加前缀（比如{bcrypt}），用来标识使用的编码算法，这样同一系统中可以同时存在多种编码格式的密码。如果你只是单独使用BCryptPasswordEncoder，编码后的密码不会有前缀，但推荐使用PasswordEncoder接口来注入，方便后续扩展。
• BCrypt强度可调：Spring Security 5中使用的BCrypt支持自定义哈希强度，默认强度是10，你可以在构造BCryptPasswordEncoder时指定更高的值（比如new BCryptPasswordEncoder(12)）来提高加密强度，当然这也会增加计算耗时，需要根据业务场景平衡。

结合你的JWT场景的注意点 #

在实现JWT认证时，这个密码编码器主要用在两个关键环节：

1. 用户注册/修改密码时，对原始密码进行编码后存储到数据库；
2. 用户登录时，拿前端传入的原始密码和数据库中存储的编码密码进行匹配，验证通过后再生成JWT令牌。

只要确保密码编码器的Bean被正确定义，后续的JWT认证流程就可以正常依赖它来处理密码验证了。

内容的提问来源于stack exchange，提问作者Paras