Spring Security-PasswordEncoder密码解析器详解和自定义登录逻辑

在Spring Security中，BCryptPasswordEncoder是一个非常强大的工具，用于对密码进行加密，以确保存储的密码的安全性。
BCrypt是一种基于Blowfish密码哈希函数的加密算法，专门设计为防止通过彩虹表攻击和暴力破解等常见密码破解手段。

如何使用BCryptPasswordEncoder

1. 添加依赖
首先，确保你的项目中已经包含了Spring Security的依赖。如果你使用的是Maven，可以在pom.xml中添加如下依赖：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

2. 创建BCryptPasswordEncoder实例
在你的Spring配置中，你可以创建一个BCryptPasswordEncoder的Bean。例如，在一个配置类中：

import org.springframework.context.annotation.Bean;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.stereotype.Component;

@Component
public class PasswordConfig {

    @Bean
    public BCryptPasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

3. 使用BCryptPasswordEncoder加密密码
你可以通过注入BCryptPasswordEncoder的Bean来加密密码。例如，在一个服务类中：

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.stereotype.Service;

@Service
public class UserService {

    @Autowired
    private BCryptPasswordEncoder passwordEncoder;

    public String encodePassword(String rawPassword) {
        return passwordEncoder.encode(rawPassword);
    }
}

4. 验证密码
使用BCryptPasswordEncoder的matches方法可以验证原始密码和存储的加密密码是否匹配：

public boolean checkIfRawPasswordMatches(String rawPassword, String encodedPassword) {
    return passwordEncoder.matches(rawPassword, encodedPassword);
}

示例代码整合使用

@Autowired
private UserService userService; // 假设你已经有了这个服务类和方法实现。

public void registerUser(String username, String rawPassword) {
    String encodedPassword = userService.encodePassword(rawPassword); // 加密密码
    // 存储username和encodedPassword到数据库等操作...
}

public boolean login(String username, String rawPassword) { // 登录时验证密码
    // 从数据库获取用户的加密密码...
    String storedEncodedPassword = "从数据库获取的加密密码"; // 示例代码，实际应从数据库获取。
    return userService.checkIfRawPasswordMatches(rawPassword, storedEncodedPassword); // 验证密码是否匹配。
}

注意事项
‌强度级别‌：BCryptPasswordEncoder允许你设置强度级别（默认是10），级别越高，加密过程越慢，但安全性也越高。例如：new BCryptPasswordEncoder(12);。
‌盐值‌：BCrypt自动为每个密码生成一个盐值，这使得即使是相同的原始密码也会生成不同的加密结果。这是为了防止使用彩虹表攻击。
‌存储‌：始终存储加密后的密码，而不是原始密码。这样做可以防止数据泄露导致的安全问题

扩展
除了BCryptPasswordEncoder加密方式还是Pbkdf2PasswordEncoder、SCryptPasswordEncoder、Argon2PasswordEncoder等，当然也可以自定义PasswordEncoder