基于SHA-256的密码匹配验证问题求助

你踩了个很常见的坑——直接把哈希后的字节数组调用toString()，这根本得不到真正的哈希字符串！

byte[]的toString()方法不会把字节内容转成可读的十六进制字符串，而是返回数组的内存地址标识（比如[B@1234abcd）。这就导致你注册时存进数据库的根本不是密码的哈希值，而是个随机的内存地址字符串，登录时自然没法和输入密码生成的内容匹配上。

下面是具体的修复方案：

第一步：写一个通用的哈希转换工具方法 #

不管是注册还是登录，都用这个方法把哈希字节数组转成标准的十六进制字符串，保证转换逻辑完全一致：

public static String bytesToHex(byte[] hash) {
    StringBuilder hexString = new StringBuilder(2 * hash.length);
    for (byte b : hash) {
        // 把字节转成两位十六进制字符，不足补0
        String hex = Integer.toHexString(0xff & b);
        if (hex.length() == 1) {
            hexString.append('0');
        }
        hexString.append(hex);
    }
    return hexString.toString();
}

第二步：修改注册代码，存入正确的哈希字符串 #

把原来直接调用toString()的逻辑换成上面的工具方法：

// 加密密码
try {
    MessageDigest msgDigest = MessageDigest.getInstance("SHA-256");
    msgDigest.reset();
    byte[] passByte = pass.getBytes("UTF-8");
    byte[] hashBytes = msgDigest.digest(passByte);
    // 转成标准十六进制哈希字符串
    String hashedPassword = bytesToHex(hashBytes);
    System.out.println(hashedPassword);
    // 这里把hashedPassword存入数据库
} catch (NoSuchAlgorithmException | UnsupportedEncodingException ex) {
    Logger.getLogger(YourClassName.class).log(Level.SEVERE, "密码哈希失败", ex);
}

第三步：登录时用同样逻辑验证密码 #

登录时对用户输入的密码执行完全一样的哈希转换，再和数据库里存的哈希字符串比对：

// 验证登录密码是否正确
public boolean checkPassword(String inputPassword, String storedHashedPassword) {
    try {
        MessageDigest msgDigest = MessageDigest.getInstance("SHA-256");
        msgDigest.reset();
        byte[] passByte = inputPassword.getBytes("UTF-8");
        byte[] hashBytes = msgDigest.digest(passByte);
        String inputHashed = bytesToHex(hashBytes);
        // 直接比对两个哈希字符串即可
        return inputHashed.equals(storedHashedPassword);
    } catch (NoSuchAlgorithmException | UnsupportedEncodingException ex) {
        Logger.getLogger(YourClassName.class).log(Level.SEVERE, "密码验证失败", ex);
        return false;
    }
}

额外提醒 #

• 全程保持字符编码一致（这里用的UTF-8），别在注册用UTF-8，登录用GBK，不然就算密码相同，字节数组也会不一样。
• 为了安全性，建议给密码哈希加盐值（salt）：注册时生成一个随机的盐值，和密码一起哈希，盐值也存在数据库里；登录时取出盐值，和输入密码拼接后再哈希比对。这能有效防止彩虹表攻击，不过如果只是先解决匹配问题，上面的方案就足够了。

内容的提问来源于stack exchange，提问作者sosumi