Spring Boot基础认证：如何哈希处理application.properties中的密码

没问题，我来帮你搞定Spring Boot里的Basic Auth密码哈希验证，而且完全可以把核心逻辑整合到SecurityConfig的configure方法里，步骤如下：

1. 更新application.properties配置 #

首先把配置文件里的明文密码替换成哈希值，这里推荐用Spring Security官方推荐的BCrypt哈希算法（自带加盐，安全性高）。你可以先生成原密码example的BCrypt哈希串，然后替换掉原来的{noop}example：

# BASIC AUTHENTICATION
user.name=test
# 这是密码example的BCrypt哈希串，你可以自己生成对应你实际密码的哈希
user.password=$2a$10$EixZaY3s7vjR0kR8qL5MqOeWX8cK8cK8cK8cK8cK8cK8cK8cK8c

怎么生成BCrypt哈希？可以写一段临时代码运行一次：

import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;

public class PasswordGenerator {
    public static void main(String[] args) {
        BCryptPasswordEncoder encoder = new BCryptPasswordEncoder();
        System.out.println(encoder.encode("example")); // 输出的就是要存到配置文件的哈希
    }
}

运行后把控制台输出的哈希串复制到配置文件即可，记得不要把这段代码留在生产环境。

2. 完整配置SecurityConfig类 #

接下来修改你的SecurityConfig，把密码编码器、用户认证逻辑都整合进去，确保登录时自动校验输入密码的哈希与配置文件存储的哈希是否一致：

import org.springframework.beans.factory.annotation.Value;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    // 从配置文件注入用户名和哈希密码
    @Value("${user.name}")
    private String authUsername;

    @Value("${user.password}")
    private String authHashedPassword;

    // 定义BCrypt密码编码器Bean，Spring Security会用它来做哈希匹配
    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            // 配置所有请求都需要认证
            .authorizeRequests()
                .anyRequest().authenticated()
                .and()
            // 启用Basic Authentication
            .httpBasic()
                .and()
            // 关联自定义的用户详情服务和密码编码器
            .userDetailsService(customUserDetailsService())
            .passwordEncoder(passwordEncoder());
    }

    // 自定义用户详情服务，整合到configure逻辑里
    private UserDetailsService customUserDetailsService() {
        return username -> {
            // 校验用户名是否匹配配置文件中的值
            if (authUsername.equals(username)) {
                return org.springframework.security.core.userdetails.User
                        .withUsername(authUsername)
                        .password(authHashedPassword)
                        .roles("USER") // 根据你的业务需求设置角色，可调整
                        .build();
            }
            throw new UsernameNotFoundException("用户不存在: " + username);
        };
    }
}

关键逻辑说明 #

• 密码匹配机制：当用户登录时，Spring Security会自动调用passwordEncoder对输入的明文密码进行哈希，然后和配置文件中存储的哈希串做比对，完全不需要你手动写比对逻辑。
• 为什么去掉{noop}：{noop}是告诉Spring Security用明文匹配密码，现在我们用哈希验证，所以不需要这个前缀，Spring Security会通过配置的PasswordEncoder自动处理。
• 安全性：BCrypt算法自带随机加盐，即使相同的密码生成的哈希串也不一样，能有效防止彩虹表攻击。

内容的提问来源于stack exchange，提问作者Genesis