Spring Boot迁移至2.0+Spring Security5后，OAuth2认证遇PasswordEncoder报错

这个问题是Spring Boot 2.x（搭配Spring Security 5）迁移时的典型坑，核心原因是Spring Security 5强制要求密码必须带有指定编码器的前缀，而你旧代码里的密码（不管是内存存储还是数据库里的）都没有这个前缀，导致系统找不到对应的编码器，就抛出了id "null"的错误。

下面给你分场景一步步解决：

1. 先理解密码存储格式的变化 #

在Spring Security 4及以前，你直接存BCrypt的哈希值（比如$2a$10$xxxx）就行，但Spring Security 5要求密码必须以{编码器ID}作为前缀，比如BCrypt的前缀是{bcrypt}，完整的密码格式应该是：

{bcrypt}$2a$10$xxxxxxxxx...

2. 针对不同存储场景的解决方法 #

场景一：内存中存储的用户/客户端密码 #

如果你是用inMemoryAuthentication或者ClientDetailsServiceConfigurer的内存配置，直接给密码加上{bcrypt}前缀，同时确保配置中指定了密码编码器：

用户认证配置示例：

@Autowired
private PasswordEncoder passwordEncoder;

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.inMemoryAuthentication()
        .passwordEncoder(passwordEncoder()) // 绑定你的BCrypt编码器Bean
        .withUser("test-user")
        .password("{bcrypt}$2a$10$EblZqNptyYvcLm/VwDCVAuBjzZOI7khzdyGPBr08PpIi0na624b8.") // 带前缀的密码
        .roles("USER");
}

OAuth2客户端配置示例：

@Override
public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
    clients.inMemory()
        .withClient("test-client")
        .secret("{bcrypt}$2a$10$EblZqNptyYvcLm/VwDCVAuBjzZOI7khzdyGPBr08PpIi0na624b8.") // 客户端密码也要加前缀
        .authorizedGrantTypes("password", "refresh_token")
        .scopes("read", "write");
}

场景二：数据库存储的密码 #

如果你的密码存在数据库里，需要批量更新所有密码记录，在原有BCrypt哈希值前加上{bcrypt}前缀。比如执行SQL语句：

UPDATE user SET password = CONCAT('{bcrypt}', password) WHERE password NOT LIKE '{bcrypt}%';

更新完成后，确保你的UserDetailsService返回的用户密码是带前缀的格式。

场景三：不想修改现有密码（临时兼容方案） #

如果暂时不想修改所有密码，也可以配置DelegatingPasswordEncoder，把BCrypt设为默认编码器，这样没有前缀的密码会自动用BCrypt解析：

@Bean
public PasswordEncoder passwordEncoder() {
    Map<String, PasswordEncoder> encoderMap = new HashMap<>();
    encoderMap.put("bcrypt", new BCryptPasswordEncoder());
    // 指定默认编码器为BCrypt，处理不带前缀的密码
    DelegatingPasswordEncoder delegatingEncoder = new DelegatingPasswordEncoder("bcrypt", encoderMap);
    delegatingEncoder.setDefaultPasswordEncoderForMatches(new BCryptPasswordEncoder());
    return delegatingEncoder;
}

不过官方更推荐使用带前缀的格式，因为这样以后切换其他编码器（比如Argon2）会更方便，不用再改密码。

3. 验证你的编码器Bean #

确保你的BCryptPasswordEncoder Bean被正确加载，比如：

@Bean
public BCryptPasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}

这个Bean会被Spring自动注入到Security配置中，只要你在配置里指定了passwordEncoder(passwordEncoder())就行。

内容的提问来源于stack exchange，提问作者Jimmy