如何在Spring Security内存认证中正确使用BCrypt加密密码？

DevOps 小满

2026-5-20

正确配置Spring Security中BCrypt密码编码器的方式

这是个很常见的Spring Security配置误区，我来帮你理清问题所在并给出正确的配置方式：

问题重现

你当前的内存认证配置中，直接使用了明文密码"password"，同时配置了BCryptPasswordEncoder，导致启动时出现警告：

o.s.s.c.bcrypt.BCryptPasswordEncoder     : Encoded password does not look like BCrypt

并且无法正常完成登录认证。

你的核心配置代码片段：

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.inMemoryAuthentication().passwordEncoder(passwordEncoder())
            .withUser("admin").password("password").roles("ADMIN");
}

@Bean
public PasswordEncoder passwordEncoder(){
    return new BCryptPasswordEncoder();
}

问题根源

BCryptPasswordEncoder的工作逻辑是：它要求系统中存储的密码必须是已经经过BCrypt算法加密后的哈希字符串，而不是明文密码。当你传入明文"password"时，编码器会判断这个字符串不符合BCrypt哈希的格式（BCrypt哈希以 $2a$ 、 $2b$ 或 $2y$ 开头），因此抛出警告，最终导致认证失败。

而NoOpPasswordEncoder之所以能工作，是因为它是一个不做任何加密的编码器，直接明文比对，这在生产环境中是绝对不安全的，只能用于临时测试。

正确配置方式

1. 内存认证场景的正确配置

你需要先将明文密码转换为BCrypt加密后的哈希值，然后把这个哈希值填入password()方法中。

生成BCrypt哈希值的方法

你可以通过一段简单的代码生成哈希值：

public class BCryptGenerator {
    public static void main(String[] args) {
        BCryptPasswordEncoder encoder = new BCryptPasswordEncoder();
        String rawPassword = "password";
        String encodedPassword = encoder.encode(rawPassword);
        System.out.println(encodedPassword);
    }
}

运行这段代码会输出类似这样的哈希字符串（每次生成的会略有不同，因为BCrypt会自动生成随机盐值）：

$2a$10$Z8HkX8U8JZ7eW5Q5R6T7Y8U9I0O1P2Q3R4S5T6U7V8W9X0Y1Z2

修改内存认证配置

把生成的哈希值替换原来的明文密码：

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.inMemoryAuthentication().passwordEncoder(passwordEncoder())
            // 这里填入你生成的BCrypt哈希值
            .withUser("admin").password("$2a$10$Z8HkX8U8JZ7eW5Q5R6T7Y8U9I0O1P2Q3R4S5T6U7V8W9X0Y1Z2").roles("ADMIN");
}

2. 自定义UserDetailsService场景的正确配置

当你后续切换到自定义UserDetailsService时，需要确保在保存用户到数据库的时候，先用BCryptPasswordEncoder对明文密码进行加密，再存储加密后的哈希值。

示例代码（用户注册/保存逻辑）：

@Service
public class UserService {
    private final UserRepository userRepository;
    private final PasswordEncoder passwordEncoder;

    @Autowired
    public UserService(UserRepository userRepository, PasswordEncoder passwordEncoder) {
        this.userRepository = userRepository;
        this.passwordEncoder = passwordEncoder;
    }

    public User saveUser(UserDto userDto) {
        User user = new User();
        user.setUsername(userDto.getUsername());
        // 对明文密码进行BCrypt加密后存储
        user.setPassword(passwordEncoder.encode(userDto.getPassword()));
        user.setAuthorities(Collections.singletonList(new SimpleGrantedAuthority("ADMIN")));
        return userRepository.save(user);
    }
}

这样，当UserDetailsService从数据库中读取用户信息时，返回的User对象中的密码已经是BCrypt哈希值，和你配置的BCryptPasswordEncoder就能正常匹配完成认证了。

总结

永远不要在使用BCryptPasswordEncoder时存储或使用明文密码
内存认证时，先生成BCrypt哈希值再填入配置
数据库存储用户时，提前加密明文密码再存入
禁止在生产环境使用NoOpPasswordEncoder

内容的提问来源于stack exchange，提问作者Extreme112

如何在Spring Security内存认证中正确使用BCrypt加密密码？

问题重现 #

问题根源 #

正确配置方式 #

1. 内存认证场景的正确配置 #