SpringBoot實現(xiàn)密碼安全存儲的五種方式小結(jié)
更新時間：2025年03月31日 09:34:30 作者：風象南
項目開發(fā)中,密碼安全存儲是非常關(guān)鍵的一環(huán),作為開發(fā)者,我們需要確保用戶的密碼在存儲時被安全地加密,避免因數(shù)據(jù)泄露而造成嚴重后果,所以本文給大家介紹了SpringBoot實現(xiàn)密碼安全存儲的5種方式,需要的朋友可以參考下
為什么不能明文存儲密碼？
首先，我們需要明確一點：密碼永遠不能以明文形式存儲在數(shù)據(jù)庫中。
原因如下：
- 數(shù)據(jù)泄露風險：如果數(shù)據(jù)庫被攻擊，所有用戶的密碼將直接暴露。
- 用戶隱私保護：許多用戶可能在多個平臺使用相同的密碼，明文存儲會增加其他賬戶被攻破的風險。
- 法律與合規(guī)要求：許多安全標準（如 GDPR、OWASP 等）都明確禁止明文存儲密碼。
因此，密碼在存儲前必須進行加密或哈希處理，在 Spring Boot 中，以下是幾種常見的密碼安全存儲方式。
1. 使用 BCrypt 進行哈希
什么是 BCrypt？
BCrypt 是一種基于 Blowfish 加密算法的哈希函數(shù)，專為密碼存儲設(shè)計，具有以下特點：
- 內(nèi)置加鹽機制，避免彩虹表攻擊。
- 支持設(shè)置計算復雜度，可增強哈希強度。
- 哈希結(jié)果固定為 60 個字符，方便存儲。
如何使用
- 引入依賴：如果未使用 Spring Security，需要單獨引入
spring-security-crypto
<dependency>
<groupId>org.springframework.security</groupId>
<artifactId>spring-security-crypto</artifactId>
</dependency>
- 密碼加密與驗證：使用
BCryptPasswordEncoder對密碼進行加密與驗證：
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
public class PasswordUtils {
private static final BCryptPasswordEncoder encoder = new BCryptPasswordEncoder();
// 加密密碼
public static String encode(String rawPassword) {
return encoder.encode(rawPassword);
}
// 驗證密碼
public static boolean matches(String rawPassword, String encodedPassword) {
return encoder.matches(rawPassword, encodedPassword);
}
}
- 使用示例
public static void main(String[] args) {
String rawPassword = "mypassword";
String encodedPassword = PasswordUtils.encode(rawPassword);
System.out.println("加密后的密碼：" + encodedPassword);
boolean isMatch = PasswordUtils.matches(rawPassword, encodedPassword);
System.out.println("密碼匹配結(jié)果：" + isMatch);
}
優(yōu)缺點
優(yōu)點
- 安全性高，內(nèi)置加鹽機制。
- 使用簡單，Spring Security 原生支持。
缺點
- 相較于其他哈希算法，性能略低。
2. 使用 PBKDF2 進行哈希
什么是 PBKDF2？
PBKDF2（Password-Based Key Derivation Function 2）是一種基于密碼的密鑰派生函數(shù)，支持多次迭代計算，進一步增強安全性。
如何使用
- 引入依賴：如果未使用 Spring Security，需要單獨引入
spring-security-crypto
<dependency>
<groupId>org.springframework.security</groupId>
<artifactId>spring-security-crypto</artifactId>
</dependency>
- 實現(xiàn)密碼加密與驗證：
import org.springframework.security.crypto.password.Pbkdf2PasswordEncoder;
public class PasswordUtils {
private static final Pbkdf2PasswordEncoder encoder = new Pbkdf2PasswordEncoder();
// 加密密碼
public static String encode(String rawPassword) {
return encoder.encode(rawPassword);
}
// 驗證密碼
public static boolean matches(String rawPassword, String encodedPassword) {
return encoder.matches(rawPassword, encodedPassword);
}
}
- 使用示例：
public static void main(String[] args) {
String rawPassword = "mypassword";
String encodedPassword = PasswordUtils.encode(rawPassword);
System.out.println("加密后的密碼：" + encodedPassword);
boolean isMatch = PasswordUtils.matches(rawPassword, encodedPassword);
System.out.println("密碼匹配結(jié)果：" + isMatch);
}
優(yōu)缺點
優(yōu)點
- 安全性高，可調(diào)節(jié)迭代次數(shù)。
- 廣泛支持，兼容性好。
缺點
- 相較 BCrypt，使用稍顯復雜。
3. 使用 Argon2 進行哈希
什么是 Argon2？
Argon2 是一種密碼哈希算法，2015 年獲得密碼哈希競賽（Password Hashing Competition）冠軍。它目前被認為是最安全的密碼哈希算法之一。
如何使用
- 引入依賴：如果未使用 Spring Security，需要引入
spring-security-crypto：
<dependency>
<groupId>org.springframework.security</groupId>
<artifactId>spring-security-crypto</artifactId>
</dependency>
- 實現(xiàn)密碼加密與驗證
import org.springframework.security.crypto.argon2.Argon2PasswordEncoder;
public class PasswordUtils {
private static final Argon2PasswordEncoder encoder = new Argon2PasswordEncoder();
// 加密密碼
public static String encode(String rawPassword) {
return encoder.encode(rawPassword);
}
// 驗證密碼
public static boolean matches(String rawPassword, String encodedPassword) {
return encoder.matches(rawPassword, encodedPassword);
}
}
- 使用示例
public static void main(String[] args) {
String rawPassword = "mypassword";
String encodedPassword = PasswordUtils.encode(rawPassword);
System.out.println("加密后的密碼：" + encodedPassword);
boolean isMatch = PasswordUtils.matches(rawPassword, encodedPassword);
System.out.println("密碼匹配結(jié)果：" + isMatch);
}
優(yōu)缺點
- 優(yōu)點
- 安全性極高，專為現(xiàn)代硬件設(shè)計。
- 防御 GPU 加速的暴力 破解。
- 缺點
- 算法較新，部分老舊系統(tǒng)可能不支持。
4. SCrypt
什么是 SCrypt？
SCrypt 是一種基于密碼的密鑰派生函數(shù)，尤其適用于限制硬件加速的攻擊（如 GPU 加速的暴力 破解）。它通過增加內(nèi)存使用量，顯著提高了破解成本。
SCrypt 的特點
- 高安全性：通過增加內(nèi)存占用，防止大規(guī)模硬件加速的攻擊。
- 參數(shù)可調(diào)：可以調(diào)整計算強度和內(nèi)存使用量，適應不同的性能需求。
如何使用
Spring Security 提供了對 SCrypt 的支持，可以直接使用 SCryptPasswordEncoder。
- 實現(xiàn)代碼
import org.springframework.security.crypto.scrypt.SCryptPasswordEncoder;
public class PasswordUtils {
private static final SCryptPasswordEncoder encoder = new SCryptPasswordEncoder();
// 加密密碼
public static String encode(String rawPassword) {
return encoder.encode(rawPassword);
}
// 驗證密碼
public static boolean matches(String rawPassword, String encodedPassword) {
return encoder.matches(rawPassword, encodedPassword);
}
}
- 使用示例
public static void main(String[] args) {
String rawPassword = "mypassword";
String encodedPassword = PasswordUtils.encode(rawPassword);
System.out.println("加密后的密碼：" + encodedPassword);
boolean isMatch = PasswordUtils.matches(rawPassword, encodedPassword);
System.out.println("密碼匹配結(jié)果：" + isMatch);
}
優(yōu)缺點
優(yōu)點：
- 抗 GPU 攻擊能力強。
- 參數(shù)可調(diào)，靈活性高。
缺點
- 性能較低，適合對安全性要求較高的場景。
5. SHA-256 + Salt
什么是 SHA-256？
SHA-256 是一種廣泛使用的哈希算法，屬于 SHA-2 家族。它生成固定長度的 256 位哈希值，計算速度快且實現(xiàn)簡單。單獨使用 SHA-256 不安全，因為它無法抵抗彩虹表攻擊。因此，通常需要搭配 Salt（隨機鹽值） 使用。
實現(xiàn)原理
- 加鹽：為每個密碼生成一個隨機鹽值，增加哈希結(jié)果的隨機性。
- 迭代：多次循環(huán)計算，增加破解難度。
如何使用
需要手動實現(xiàn)加鹽和迭代邏輯，可以使用 Java 的 MessageDigest 類。
- 實現(xiàn)代碼
import java.security.MessageDigest;
import java.security.SecureRandom;
import java.util.Base64;
public class PasswordUtils {
// 生成隨機鹽值
public static String generateSalt() {
byte[] salt = new byte[16];
new SecureRandom().nextBytes(salt);
return Base64.getEncoder().encodeToString(salt);
}
// 使用 SHA-256 進行加密
public static String hashPassword(String password, String salt) {
try {
MessageDigest digest = MessageDigest.getInstance("SHA-256");
String saltedPassword = salt + password;
byte[] hash = digest.digest(saltedPassword.getBytes());
for (int i = 0; i < 1000; i++) { // 多次迭代
hash = digest.digest(hash);
}
return Base64.getEncoder().encodeToString(hash);
} catch (Exception e) {
throw new RuntimeException("加密失敗", e);
}
}
// 驗證密碼
public static boolean matches(String rawPassword, String salt, String hashedPassword) {
return hashPassword(rawPassword, salt).equals(hashedPassword);
}
}
- 使用示例
public static void main(String[] args) {
String rawPassword = "mypassword";
String salt = PasswordUtils.generateSalt();
String hashedPassword = PasswordUtils.hashPassword(rawPassword, salt);
System.out.println("隨機鹽值：" + salt);
System.out.println("加密后的密碼：" + hashedPassword);
boolean isMatch = PasswordUtils.matches(rawPassword, salt, hashedPassword);
System.out.println("密碼匹配結(jié)果：" + isMatch);
}
優(yōu)缺點
優(yōu)點
- 實現(xiàn)簡單，速度快。
- 可用于與舊系統(tǒng)兼容的場景。
缺點
- 安全性相對較低，需謹慎處理鹽值。
總結(jié)
| 加密方式 | 安全性 | 性能 | 適用場景 |
|---|---|---|---|
| BCrypt | 高 | 中等 | 通用場景，兼容性好 |
| PBKDF2 | 高 | 中等 | 高強度密碼存儲 |
| Argon2 | 極高 | 較低 | 對安全性要求極高的場景 |
| SCrypt | 極高 | 較低 | 防硬件加速攻擊的場景 |
| SHA-256 + Salt | 中等 | 高 | 安全性不敏感的項目，如內(nèi)部項目 |
推薦選擇
- 通用場景：推薦使用
BCrypt，它在性能和安全性之間達到了良好平衡。 - 高安全性需求：建議使用
Argon2或SCrypt。 - 安全性不敏感的系統(tǒng)：可以考慮
SHA-256 + Salt。
以上就是SpringBoot實現(xiàn)密碼安全存儲的五種方式小結(jié)的詳細內(nèi)容，更多關(guān)于SpringBoot密碼存儲的資料請關(guān)注腳本之家其它相關(guān)文章！
相關(guān)文章
這篇文章主要給大家介紹了在spring MVC中傳遞對象參數(shù)的相關(guān)資料，文中通過示例代碼介紹的非常詳細，對大家具有一定的參考學習價值，需要的朋友們下面來一起看吧。2017-06-06
SpringBoot集成itext實現(xiàn)html轉(zhuǎn)PDF
iText是著名的開放源碼的站點sourceforge一個項目,是用于生成PDF文檔的一個java類庫,本文主要介紹了如何利用itext實現(xiàn)html轉(zhuǎn)PDF,需要的可以參考下2024-03-03
SpringBoot+Response如何統(tǒng)一返回result結(jié)果集
這篇文章主要介紹了SpringBoot+Response如何統(tǒng)一返回result結(jié)果集,具有很好的參考價值,希望對大家有所幫助,如有錯誤或未考慮完全的地方,望不吝賜教2024-05-05
文章內(nèi)容為提示更新MyBatis-Plus框架至最新版本,并需同步更新Spring?Boot依賴,建議補全Maven倉庫中MyBatis-Plus的artifact?ID（如com.baomidou:mybatis-plus-boot-starter）,并參考官方倉庫獲取準確版本信息2025-08-08
Java線程池隊列PriorityBlockingQueue原理分析
這篇文章主要介紹了Java線程池隊列PriorityBlockingQueue原理分析,PriorityBlockingQueue隊列是?JDK1.5?的時候出來的一個阻塞隊列,但是該隊列入隊的時候是不會阻塞的,永遠會加到隊尾,需要的朋友可以參考下2023-12-12
這篇文章主要介紹了Java與Http協(xié)議的詳細介紹的相關(guān)資料,這里提供實例來幫助大家學習理解這部分內(nèi)容，需要的朋友可以參考下2017-09-09
這篇文章主要介紹了Java 運算符 動力節(jié)點Java學院整理,需要的朋友可以參考下2017-04-04
這篇文章主要介紹了DWR異常情況處理常見方法解析,文中通過示例代碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值,需要的朋友可以參考下2020-10-10
在學習編程的過程中,編寫簡單的程序來實現(xiàn)基本的數(shù)學運算是一個很好的練習,本文將介紹如何使用Java語言編寫一個程序,用于輸出9*9的乘法口訣表,需要的朋友可以參考下2026-01-01
Java和MySQL數(shù)據(jù)庫中關(guān)于小數(shù)的保存問題詳析
在Java和MySQL中小數(shù)的精度可能會受到限制,如float類型的小數(shù)只能精確到6-7位,double類型也只能精確到15-16位,這篇文章主要給大家介紹了關(guān)于Java和MySQL數(shù)據(jù)庫中關(guān)于小數(shù)的保存問題,需要的朋友可以參考下2024-01-01