Spring Boot 实现密码安全存储的5种方式

风象南2025-03-30 12:25

文章首发公众号【风象南】

项目开发中，密码安全存储是非常关键的一环。作为开发者，我们需要确保用户的密码在存储时被安全地加密，避免因数据泄露而造成严重后果。

为什么不能明文存储密码？

首先，我们需要明确一点：密码永远不能以明文形式存储在数据库中。

原因如下：

  1. 数据泄露风险：如果数据库被攻击，所有用户的密码将直接暴露。
  2. 用户隐私保护：许多用户可能在多个平台使用相同的密码，明文存储会增加其他账户被攻破的风险。
  3. 法律与合规要求：许多安全标准（如 GDPR、OWASP 等）都明确禁止明文存储密码。

因此，密码在存储前必须进行加密或哈希处理，在 Spring Boot 中，以下是几种常见的密码安全存储方式。

1. 使用 BCrypt 进行哈希

什么是 BCrypt？

BCrypt 是一种基于 Blowfish 加密算法的哈希函数，专为密码存储设计，具有以下特点：

  • 内置加盐机制，避免彩虹表攻击。
  • 支持设置计算复杂度，可增强哈希强度。
  • 哈希结果固定为 60 个字符，方便存储。

如何使用

  1. 引入依赖 ：如果未使用 Spring Security，需要单独引入 spring-security-crypto
xml 复制代码 
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-crypto</artifactId>
</dependency>
  1. 密码加密与验证 ：使用 BCryptPasswordEncoder 对密码进行加密与验证：
typescript 复制代码 
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;

public class PasswordUtils {
    private static final BCryptPasswordEncoder encoder = new BCryptPasswordEncoder();

    // 加密密码
    public static String encode(String rawPassword) {
        return encoder.encode(rawPassword);
    }

    // 验证密码
    public static boolean matches(String rawPassword, String encodedPassword) {
        return encoder.matches(rawPassword, encodedPassword);
    }
}
  1. 使用示例
ini 复制代码 
public static void main(String[] args) {
    String rawPassword = "mypassword";
    String encodedPassword = PasswordUtils.encode(rawPassword);

    System.out.println("加密后的密码：" + encodedPassword);

    boolean isMatch = PasswordUtils.matches(rawPassword, encodedPassword);
    System.out.println("密码匹配结果：" + isMatch);
}

优缺点

  • 优点

    • 安全性高，内置加盐机制。
    • 使用简单，Spring Security 原生支持。

  • 缺点

    • 相较于其他哈希算法，性能略低。

2. 使用 PBKDF2 进行哈希

什么是 PBKDF2？

PBKDF2（Password-Based Key Derivation Function 2）是一种基于密码的密钥派生函数，支持多次迭代计算，进一步增强安全性。

如何使用

  1. 引入依赖 ：如果未使用 Spring Security，需要单独引入 spring-security-crypto
xml 复制代码 
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-crypto</artifactId>
</dependency>
  1. 实现密码加密与验证：
typescript 复制代码 
import org.springframework.security.crypto.password.Pbkdf2PasswordEncoder;

public class PasswordUtils {
    private static final Pbkdf2PasswordEncoder encoder = new Pbkdf2PasswordEncoder();

    // 加密密码
    public static String encode(String rawPassword) {
        return encoder.encode(rawPassword);
    }

    // 验证密码
    public static boolean matches(String rawPassword, String encodedPassword) {
        return encoder.matches(rawPassword, encodedPassword);
    }
}
  1. 使用示例：
ini 复制代码 
public static void main(String[] args) {
    String rawPassword = "mypassword";
    String encodedPassword = PasswordUtils.encode(rawPassword);

    System.out.println("加密后的密码：" + encodedPassword);

    boolean isMatch = PasswordUtils.matches(rawPassword, encodedPassword);
    System.out.println("密码匹配结果：" + isMatch);
}

优缺点

  • 优点

    • 安全性高，可调节迭代次数。
    • 广泛支持，兼容性好。

  • 缺点

    • 相较 BCrypt，使用稍显复杂。

3. 使用 Argon2 进行哈希

什么是 Argon2？

Argon2 是一种密码哈希算法，2015 年获得密码哈希竞赛（Password Hashing Competition）冠军。它目前被认为是最安全的密码哈希算法之一。

如何使用

  1. 引入依赖 ：如果未使用 Spring Security，需要引入 spring-security-crypto：
xml 复制代码 
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-crypto</artifactId>
</dependency>
  1. 实现密码加密与验证
typescript 复制代码 
import org.springframework.security.crypto.argon2.Argon2PasswordEncoder;

public class PasswordUtils {
    private static final Argon2PasswordEncoder encoder = new Argon2PasswordEncoder();

    // 加密密码
    public static String encode(String rawPassword) {
        return encoder.encode(rawPassword);
    }

    // 验证密码
    public static boolean matches(String rawPassword, String encodedPassword) {
        return encoder.matches(rawPassword, encodedPassword);
    }
}
  1. 使用示例
ini 复制代码 
public static void main(String[] args) {
    String rawPassword = "mypassword";
    String encodedPassword = PasswordUtils.encode(rawPassword);

    System.out.println("加密后的密码：" + encodedPassword);

    boolean isMatch = PasswordUtils.matches(rawPassword, encodedPassword);
    System.out.println("密码匹配结果：" + isMatch);
}

优缺点

  • 优点
    • 安全性极高，专为现代硬件设计。
    • 防御 GPU 加速的暴力破解。
  • 缺点
    • 算法较新，部分老旧系统可能不支持。

4. SCrypt

什么是 SCrypt？

SCrypt 是一种基于密码的密钥派生函数，尤其适用于限制硬件加速的攻击（如 GPU 加速的暴力破解）。它通过增加内存使用量，显著提高了破解成本。

SCrypt 的特点

  • 高安全性：通过增加内存占用，防止大规模硬件加速的攻击。
  • 参数可调：可以调整计算强度和内存使用量，适应不同的性能需求。

如何使用

Spring Security 提供了对 SCrypt 的支持，可以直接使用 SCryptPasswordEncoder。

  1. 实现代码
typescript 复制代码 
import org.springframework.security.crypto.scrypt.SCryptPasswordEncoder;

public class PasswordUtils {
    private static final SCryptPasswordEncoder encoder = new SCryptPasswordEncoder();

    // 加密密码
    public static String encode(String rawPassword) {
        return encoder.encode(rawPassword);
    }

    // 验证密码
    public static boolean matches(String rawPassword, String encodedPassword) {
        return encoder.matches(rawPassword, encodedPassword);
    }
}
  1. 使用示例
ini 复制代码 
public static void main(String[] args) {
    String rawPassword = "mypassword";
    String encodedPassword = PasswordUtils.encode(rawPassword);

    System.out.println("加密后的密码：" + encodedPassword);

    boolean isMatch = PasswordUtils.matches(rawPassword, encodedPassword);
    System.out.println("密码匹配结果：" + isMatch);
}

优缺点

  • 优点：

    • 抗 GPU 攻击能力强。
    • 参数可调，灵活性高。

  • 缺点

    • 性能较低，适合对安全性要求较高的场景。

5. SHA-256 + Salt

什么是 SHA-256？

SHA-256 是一种广泛使用的哈希算法，属于 SHA-2 家族。它生成固定长度的 256 位哈希值，计算速度快且实现简单。单独使用 SHA-256 不安全 ，因为它无法抵抗彩虹表攻击。因此，通常需要搭配 Salt（随机盐值） 使用。

实现原理

  • 加盐：为每个密码生成一个随机盐值，增加哈希结果的随机性。
  • 迭代：多次循环计算，增加破解难度。

如何使用

需要手动实现加盐和迭代逻辑，可以使用 Java 的 MessageDigest 类。

  1. 实现代码
java 复制代码 
import java.security.MessageDigest;
import java.security.SecureRandom;
import java.util.Base64;

public class PasswordUtils {

    // 生成随机盐值
    public static String generateSalt() {
        byte[] salt = new byte[16];
        new SecureRandom().nextBytes(salt);
        return Base64.getEncoder().encodeToString(salt);
    }

    // 使用 SHA-256 进行加密
    public static String hashPassword(String password, String salt) {
        try {
            MessageDigest digest = MessageDigest.getInstance("SHA-256");
            String saltedPassword = salt + password;
            byte[] hash = digest.digest(saltedPassword.getBytes());
            for (int i = 0; i < 1000; i++) {  // 多次迭代
                hash = digest.digest(hash);
            }
            return Base64.getEncoder().encodeToString(hash);
        } catch (Exception e) {
            throw new RuntimeException("加密失败", e);
        }
    }

    // 验证密码
    public static boolean matches(String rawPassword, String salt, String hashedPassword) {
        return hashPassword(rawPassword, salt).equals(hashedPassword);
    }
}
  1. 使用示例
ini 复制代码 
public static void main(String[] args) {
    String rawPassword = "mypassword";
    String salt = PasswordUtils.generateSalt();
    String hashedPassword = PasswordUtils.hashPassword(rawPassword, salt);

    System.out.println("随机盐值：" + salt);
    System.out.println("加密后的密码：" + hashedPassword);

    boolean isMatch = PasswordUtils.matches(rawPassword, salt, hashedPassword);
    System.out.println("密码匹配结果：" + isMatch);
}

优缺点

  • 优点

    • 实现简单，速度快。
    • 可用于与旧系统兼容的场景。

  • 缺点

    • 安全性相对较低，需谨慎处理盐值。

总结

加密方式 安全性 性能 适用场景
BCrypt 高 中等 通用场景，兼容性好
PBKDF2 高 中等 高强度密码存储
Argon2 极高 较低 对安全性要求极高的场景
SCrypt 极高 较低 防硬件加速攻击的场景
SHA-256 + Salt 中等 高 安全性不敏感的项目，如内部项目

推荐选择

  1. 通用场景 ：推荐使用 BCrypt，它在性能和安全性之间达到了良好平衡。
  2. 高安全性需求 ：建议使用 Argon2 或 SCrypt。
  3. 安全性不敏感的系统 ：可以考虑 SHA-256 + Salt。
相关推荐
骄马之死3 小时前
SpringMVC + SpringBoot 核心知识点总结
java·spring boot·后端
GoGeekBaird4 小时前
Anthropic技能"（Skills）的经验分享
后端
王码码20355 小时前
多台服务器怎么统一看状态？Beszel 轻量监控，搭起来不费事
运维·服务器·后端·安全·阿里云·接口·web
郑洁文5 小时前
基于Spring Boot的流浪动物救助网站
java·spring boot·后端·毕设·流浪动物救助
螺丝钉code6 小时前
JAVA项目 Claude code CLAUDE.md 到底应该怎么写
java·人工智能·claude code
指令集梦境6 小时前
Cursor + Spring Boot实战：从零写一个RESTful API
spring boot·后端·restful
摇滚侠7 小时前
Maven 入门+高深 单一架构案例 54-59
java·架构·maven·intellij-idea
VidDown7 小时前
Webhook 调试器：让第三方回调“原形毕露”
java·开发语言·javascript·编辑器·postman
码云之上7 小时前
聊聊如何设计一个高效、稳定的 Node.js 接入层
前端·后端·node.js
折哥的程序人生 · 物流技术专研7 小时前
Java 23 种设计模式：从踩坑到精通 | 原型模式 —— 克隆对象，深拷贝与浅拷贝的坑你踩过吗？
java·设计模式·架构·原型模式·单一职责原则
热门推荐
01GitHub 镜像站点02【AI】2026 年具身智能模型和世界模型总结03Codex 下载安装指南：Windows 和 macOS 官方版下载042026 年 AI 编程工具终极横评：Cursor vs Claude Code vs Copilot vs Windsurf05CC-Switch & Claude 基于 Linux 服务器安装使用指南06【踩坑记录 | 第一篇】微软商店无法使用时，如何手动安装 OpenAI Codex？附`.msix`文件系统错误解决方法07Agnes AI 全模态 API 免费实测报告：文生图 + 文生视频完整测试08Codex 桌面端更新后 Chrome 插件和 Computer Use 不可用，怎么排查和修复09CC-Switch 下载、安装与使用配置指南【2026.5.29】102026 AI 编程工具终极实战指南：Cursor vs Claude Code vs Copilot，开发者该怎么选？