Java Prepared Statement中密码加密ENCRYPT语句是否存在问题？

首先，先解决最紧急的语法错误：你的SQL字符串拼接时缺少了关键空格！

看你拼接后的语句会变成：

INSERT INTO virtual_users(domain_id, password, email) VALUES(?,ENCRYPT(?, CONCAT('$6$', SUBSTRING(SHA(RAND()), -16))),?)

这里virtual_users和后面的(domain_id...)连在一起了，MySQL会把virtual_users(domain_id当成一个无效的表名标识符，直接抛出语法错误。你需要在virtual_users后面加个空格，或者第二个字符串开头加空格，修正后的代码应该是：

String Sql = "INSERT INTO virtual_users " + "(domain_id, password, email) VALUES " + "(?,ENCRYPT(?, CONCAT('$6$', SUBSTRING(SHA(RAND()), -16))),?)";

接下来聊聊ENCRYPT语句本身的问题：

• 平台依赖性强：MySQL的ENCRYPT()函数是调用操作系统底层的crypt()实现的。你用的$6$前缀是SHA-512哈希的标准标识，但如果你的MySQL运行在不支持SHA-512 crypt格式的系统（比如旧版Windows或某些轻量Linux发行版），这个函数要么生成不符合预期的哈希，要么直接返回NULL，导致密码存储失效。
• 可移植性差：如果未来你需要迁移数据库（比如换PostgreSQL），不同数据库对ENCRYPT()的实现完全不同，这会导致密码验证逻辑彻底崩溃。
• 安全性的替代方案：虽然你用随机salt（SUBSTRING(SHA(RAND()), -16)）的思路是对的（每个密码用独立salt是密码存储的基本要求），但现在更推荐在Java应用层处理密码加密，比如使用BCrypt、Argon2这类专门的密码哈希算法。这些算法自带salt管理，且抗暴力破解能力更强，完全不依赖数据库或操作系统的实现。比如用BCrypt的话，代码大概是这样：

// 加密密码（在Java层处理）
String hashedPassword = BCrypt.hashpw(mAC.getPassword(), BCrypt.gensalt(12));
// 然后SQL简化为：
String sql = "INSERT INTO virtual_users (domain_id, password, email) VALUES (?, ?, ?)";
// 把hashedPassword作为参数传入PreparedStatement

最后总结：你的ENCRYPT()逻辑在支持SHA-512 crypt的系统上能工作，但存在明显的平台依赖问题，而且SQL拼接的语法错误会直接导致当前代码无法运行。优先修复语法问题，长远来看建议迁移到应用层的专业密码哈希方案。

内容的提问来源于stack exchange，提问作者user2372925