SpringBoot集成BCrypt密码加密库

BCrypt 是一种专门用于密码存储的哈希算法 ‌，不是传统意义上可解密的加密方式。它由 Niels Provos 和 David Mazières 于 1999 年设计，核心特点是‌每次加密结果都不同 ‌（因为自动加盐），且‌计算速度可调节‌，能有效抵御暴力破解。‌‌‌

‌工作原理‌

‌自动加盐‌：每次加密时自动生成随机盐值，即使两个用户密码相同，加密后的结果也完全不同。
‌成本因子可调‌：通过设置"轮数"（如 10、12）控制计算耗时，轮数每增加 1，计算时间翻倍。
‌单向不可逆‌：加密后的哈希值无法还原成原始密码，只能通过比对验证。‌‌‌

BCrypt 的安全性由"工作因子"（也称为 strength 或 log rounds）决定。该值每增加 1，计算耗时约翻倍。

工作因子 (Cost)	迭代次数 (2n)	预估耗时 (现代 CPU)	适用场景建议
‌10‌	1,024	~50-80 ms	‌`开发/测试环境‌`，或对性能极度敏感且安全风险较低的内部系统。（默认值）
‌12‌	4,096	~200-300 ms	‌通用`生产环境`推荐起点‌。大多数互联网应用、电商平台的平衡选择。
‌14‌	16,384	~800ms - 1.2s	‌高安全敏感系统‌（如金融、支付、医疗）。需确保服务器性能充足。
‌>14‌	>16,384	>2s	‌不推荐‌。除非有特殊合规要求，否则会导致用户登录明显卡顿，且容易引发并发下的 CPU 瓶颈。

优势

为什么安全‌：
- ‌防彩虹表攻击‌：随机盐值让预计算的攻击表失效。
- ‌防暴力破解‌：成本因子让每次尝试都耗时，攻击者成本极高。
- ‌自适应升级‌：硬件变强后可提高轮数，保持安全性。‌‌‌
‌破解难度‌：
- ‌无法解密‌：哈希是单向的，不存在"解密"一说。
- ‌只能暴力尝试‌：攻击者只能不断试密码比对哈希，成本因子设为 12 时，单次验证约 400ms，暴力破解几乎不可行。‌‌‌‌
‌与其他算法对比‌：
- ‌比 MD5/SHA-1 安全‌：MD5 易被暴力破解，不再推荐用于密码存储。
- ‌与 SHA-256 对比‌：SHA-256 计算太快，不适合密码存储；BCrypt 故意慢，更适合。‌‌‌‌

示例代码

添加依赖

xml 复制代码

<!-- BCrypt密码加密库 -->
<dependency>
    <groupId>org.mindrot</groupId>
    <artifactId>jbcrypt</artifactId>
    <version>0.4</version>
</dependency>

密码工具类

java 复制代码

package com.zibocoder.plugins.common.utils;

import cn.hutool.core.util.RandomUtil;
import cn.hutool.core.util.StrUtil;
import cn.hutool.crypto.SmUtil;
import org.mindrot.jbcrypt.BCrypt;

/**
 * @author zibocoder
 * @date 2025/7/9 23:37:09
 * @description 密码工具类
 */
public class PasswordUtil {
    
    /**
     * BCrypt密码加密（使用jBCrypt库）
     * BCrypt.gensalt方法参数不写默认10，可用于开发测试环境，生产环境推荐值为 12
     */
    public static String getBcryptEncryptPwd(String password) {
        return BCrypt.hashpw(password, BCrypt.gensalt(12));
    }

    /**
     * BCrypt密码验证（使用jBCrypt库）
     * @param rawPassword 原始密码
     * @param encodedPassword 已加密的密码
     */
    public static boolean matches(String rawPassword, String encodedPassword) {
        // 处理空值和空字符串情况
        if (StrUtil.isBlank(rawPassword) || StrUtil.isBlank(encodedPassword)) {
            return false;
        }
        return BCrypt.checkpw(rawPassword, encodedPassword);
    }    

    public static void main(String[] args) {
        System.out.println("\n=== BCrypt测试 ===");
        String bcryptPwd1 = getBcryptEncryptPwd("123456");
        String bcryptPwd2 = getBcryptEncryptPwd("123456");
        System.out.println("BCrypt加密1: " + bcryptPwd1);
        System.out.println("BCrypt加密2: " + bcryptPwd2);
        System.out.println("两次加密结果不同（因为盐值不同）: " + !bcryptPwd1.equals(bcryptPwd2));
        System.out.println("BCrypt验证1: " + matches("123456", bcryptPwd1));
        System.out.println("BCrypt验证2: " + matches("123456", bcryptPwd2));
        System.out.println("错误密码验证: " + matches("wrong", bcryptPwd1));
    }
}