Spring Security+Hibernate登录失败：无法读取数据库，密码哈希是否为诱因？

嘿，我来帮你排查这个登录失败的问题！从你给出的日志和代码来看，Hibernate已经能正确查询到用户和角色数据，但登录验证就是不通过，大概率和密码加密匹配有关，咱们一步步拆解：

1. 最可能的原因：BCrypt密码哈希不匹配 #

你在Spring Security配置里用了BCryptPasswordEncoder，这意味着系统会把用户登录输入的密码用BCrypt加密后，和数据库中存储的密码做对比。如果数据库里存的是明文密码或者用了其他加密方式（比如MD5），那两者肯定匹配不上，直接返回「无效的用户名或密码」。

验证方式： #

检查数据库users表的password字段，BCrypt加密后的密码格式是类似$2a$10$Z8OvQxQ8eL7yW5kG9H6jK7uI0oP1rS2tU3vW4xY5zA6bC7dE8fG9这样的，长度固定且带$符号。如果你的密码是明文或者其他格式，那就是这里的问题。

解决办法： #

• 生成BCrypt加密后的密码替换数据库中的明文：写个简单的测试类生成加密结果

  public class BCryptGenerator {
      public static void main(String[] args) {
          BCryptPasswordEncoder encoder = new BCryptPasswordEncoder();
          // 替换成你的明文密码
          System.out.println(encoder.encode("your_plain_password"));
      }
  }
  

• 确保用户注册流程中，始终用BCryptPasswordEncoder加密密码后再存入数据库。

2. 实体类关联的小瑕疵（不影响登录，但建议修正） #

看你的User实体类中的@JoinTable配置：

@JoinTable(name="user_roles", 
    joinColumns = {@JoinColumn(name="user_name", referencedColumnName="username")}, 
    inverseJoinColumns = {@JoinColumn(name="role_id", referencedColumnName="id")}
)

这里joinColumns的name="user_name"和User表的主键字段username不一致（从Hibernate日志的select user0_.username...能看出来表字段是username），虽然当前登录查询没出问题，但为了避免后续关联操作报错，建议改成name="username"，和数据库表字段保持一致。

3. 检查UserDetailsService的实现 #

虽然Hibernate已经查询到用户数据，但要确认你的UserDetailsService实现是否正确封装了用户信息：

• 有没有正确把数据库中的password字段传入UserDetails对象？
• 有没有正确把UserRole转换为GrantedAuthority？
• 账户的enabled状态是否正确设置？

示例正确实现：

@Service("userDetailsService")
public class CustomUserDetailsService implements UserDetailsService {

    @Autowired
    private UserDao userDao;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userDao.findByUsername(username);
        if (user == null) {
            throw new UsernameNotFoundException("用户不存在");
        }

        List<GrantedAuthority> authorities = new ArrayList<>();
        // 注意角色名要和Security配置中的hasRole匹配，比如ROLE_ADMIN
        for (UserRole role : user.getUserRole()) {
            authorities.add(new SimpleGrantedAuthority(role.getRole()));
        }

        return new org.springframework.security.core.userdetails.User(
                user.getUsername(),
                user.getPassword(),
                user.isEnabled(),
                true, // 账户未过期
                true, // 凭证未过期
                true, // 账户未锁定
                authorities
        );
    }
}

内容的提问来源于stack exchange，提问作者Bishwa Karki