使用Jasypt的StrongPasswordEncryption时checkPassword随机失效求助

这个问题我之前帮好几个开发者排查过，一眼就看到了代码里的关键问题——你每次加密或验证密码时都新建StrongPasswordEncryptor实例，这就是导致过几天验证失败的核心原因！

这类加密工具类的设计初衷是作为单例复用的，频繁创建实例会触发两个隐形问题：

• 首先，StrongPasswordEncryptor初始化时会加载加密算法配置、初始化随机数生成器等资源。长时间运行后，频繁创建实例可能耗尽JVM的熵池，导致随机数生成异常，进而让加密/验证时的参数（比如盐、迭代次数）出现不可预期的偏差。
• 其次，部分实现中StrongPasswordEncryptor并非完全无状态，随着应用运行，环境变量、类加载器状态的细微变化，会让新创建的实例执行逻辑和之前的实例产生差异——这就解释了为什么一开始验证正常，运行几天后突然失效。

把StrongPasswordEncryptor改成静态单例，确保整个应用生命周期里只初始化一次：

// 静态单例，仅在类加载时初始化一次
private static final StrongPasswordEncryptor PASSWORD_ENCRYPTOR = new StrongPasswordEncryptor();

public static String encryptedPassword(String password) { 
    return PASSWORD_ENCRYPTOR.encryptPassword(password); 
} 

public static boolean checkPassword(String password, String encryptedPassword) { 
    return PASSWORD_ENCRYPTOR.checkPassword(password, encryptedPassword); 
}

• 检查JVM启动参数，添加-Djava.security.egd=file:/dev/./urandom避免熵池耗尽导致的随机数异常；
• 确认加密后的密码在存储时没有被截断、转义或篡改（比如数据库字段长度是否足够，字符编码是否统一）；
• 验证StrongPasswordEncryptor依赖库的版本是否稳定，避免自动更新引发兼容性问题。

内容的提问来源于stack exchange，提问作者Stephane Grenier