Spring Boot 2.0迁移后Spring Security移除Md5PasswordEncoder的方案咨询

刚好之前帮团队做过Spring Boot 1.5到2.0的迁移，碰到过一模一样的问题，给你梳理下可行的解决方案：

首先得明确：Spring Security 5+（对应Spring Boot 2.0及以上）确实移除了Md5PasswordEncoder，而且MD5本身属于不安全的哈希算法，官方完全不推荐继续使用。不过如果是因为历史遗留系统必须兼容现有MD5哈希的密码，这里有几个靠谱的方案：

方案1：用内置的MessageDigestPasswordEncoder替代过渡 #

Spring Security并没有彻底砍掉MD5的编码能力，你可以用MessageDigestPasswordEncoder指定MD5算法来实现和旧Md5PasswordEncoder一样的功能，代码示例如下：

import org.springframework.security.crypto.password.MessageDigestPasswordEncoder;

// 初始化MD5编码器
MessageDigestPasswordEncoder md5Encoder = new MessageDigestPasswordEncoder("MD5");

// 对原始密码进行编码
String encodedPassword = md5Encoder.encode("yourRawPassword");

// 验证输入密码和存储的哈希是否匹配
boolean isMatch = md5Encoder.matches("yourRawPassword", encodedPassword);

⚠️ 注意：这只是遗留系统的过渡方案，别长期用，MD5的碰撞风险太高，安全性完全不够。

方案2：用DelegatingPasswordEncoder兼容新旧编码（推荐） #

如果你的系统需要同时支持旧的MD5密码和新的安全算法（比如BCrypt），DelegatingPasswordEncoder是Spring Security 5主推的标准方案。它会通过密码前缀（比如{md5}、{bcrypt}）自动识别对应的编码器，示例配置如下：

import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.DelegatingPasswordEncoder;
import org.springframework.security.crypto.password.MessageDigestPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

import java.util.HashMap;
import java.util.Map;

@Configuration
public class PasswordEncoderConfig {
    @Bean
    public PasswordEncoder passwordEncoder() {
        // 定义支持的编码器映射
        Map<String, PasswordEncoder> encoderMap = new HashMap<>();
        // 优先用BCrypt作为新密码的默认编码器（安全性高）
        encoderMap.put("bcrypt", new BCryptPasswordEncoder());
        // 添加MD5编码器兼容旧密码
        encoderMap.put("md5", new MessageDigestPasswordEncoder("MD5"));

        // 创建DelegatingPasswordEncoder，默认使用bcrypt编码新密码
        return new DelegatingPasswordEncoder("bcrypt", encoderMap);
    }
}

这样一来，新注册用户的密码会自动用BCrypt编码（前缀带{bcrypt}），而旧的MD5密码只要在存储时加上{md5}前缀，就能被正确验证。

方案3：彻底迁移到安全算法（强烈推荐） #

从长远安全考虑，最好的做法是逐步把现有MD5哈希的密码迁移到更安全的算法，比如：

• BCryptPasswordEncoder：自带盐值，抗暴力破解能力强，是目前最常用的选择
• Argon2PasswordEncoder：密码哈希竞赛的获胜者，安全性比BCrypt更高
• Pbkdf2PasswordEncoder：适合对性能要求较高的场景，安全性也达标

拿BCrypt举个例子，代码非常简单：

import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;

BCryptPasswordEncoder bCryptEncoder = new BCryptPasswordEncoder();
// 编码新密码
String secureEncodedPassword = bCryptEncoder.encode("yourRawPassword");
// 验证密码
boolean passwordMatches = bCryptEncoder.matches("yourRawPassword", secureEncodedPassword);

你可以在用户下次登录时，把旧的MD5密码重新编码为BCrypt（或其他安全算法）并更新数据库，慢慢完成全量迁移，这样系统的安全性能得到质的提升。

内容的提问来源于stack exchange，提问作者drenda