SpringBoot集成BCrypt密码加密库的详细步骤

BCrypt 是一种专门用于密码存储的哈希算法‌，不是传统意义上可解密的加密方式。它由 Niels Provos 和 Da vid Mazi&egra ve;res 于 1999 年设计 ，核心特点是‌每次加密结果都不同‌（因为自动加盐），且‌计算速度可调节‌，能有效抵御暴力 破解 。‌‌‌

‌工作原理‌

• ‌自动加盐‌：每次加密时自动生成随机盐值，即使两个用户密码相同，加密后的结果也完全不同 。
• ‌成本因子可调‌：通过设置“轮数”（如 10、12）控制计算耗时，轮数每增加 1，计算时间翻倍 。
• ‌单向不可逆‌：加密后的哈希值无法还原成原始密码，只能通过比对验证 。‌‌‌

BCrypt 的安全性由“工作因子”（也称为 strength 或 log rounds）决定。该值每增加 1，计算耗时约翻倍。

优势

为什么安全‌：

• ‌防彩虹表攻击‌：随机盐值让预计算的攻击表失效 。
• ‌防暴力 破解‌：成本因子让每次尝试都耗时，攻击者成本极高 。
• ‌自适应升级‌：硬件变强后可提高轮数，保持安全性 。‌‌‌

‌破解难度‌：

• ‌无法解密‌：哈希是单向的，不存在“解密”一说 。
• ‌只能暴力尝试‌：攻击者只能不断试密码比对哈希，成本因子设为 12 时，单次验证约 400ms，暴力 破解几乎不可行 。‌‌‌‌

‌与其他算法对比‌：

• ‌比 MD5/SHA-1 安全‌：MD5 易被暴力 破解，不再推荐用于密码存储 。
• ‌与 SHA-256 对比‌：SHA-256 计算太快，不适合密码存储；BCrypt 故意慢，更适合 。‌‌‌‌

示例代码

添加依赖

    org.mindrot
    jbcrypt
    0.4

密码工具类

package com.zibocoder.plugins.common.utils;

import cn.hutool.core.util.RandomUtil;
import cn.hutool.core.util.StrUtil;
import cn.hutool.crypto.SmUtil;
import org.mindrot.jbcrypt.BCrypt;

/**
 * 密码工具类
 */
public class PasswordUtil {
    
    /**
     * BCrypt密码加密（使用jBCrypt库）
     * BCrypt.gensalt方法参数不写默认10，可用于开发测试环境，生产环境推荐值为 12
     */
    public static String getBcryptEncryptPwd(String password) {
        return BCrypt.hashpw(password, BCrypt.gensalt(12));
    }

    /**
     * BCrypt密码验证（使用jBCrypt库）
     * @param rawPassword 原始密码
     * @param encodedPassword 已加密的密码
     */
    public static boolean matches(String rawPassword, String encodedPassword) {
        // 处理空值和空字符串情况
        if (StrUtil.isBlank(rawPassword) || StrUtil.isBlank(encodedPassword)) {
            return false;
        }
        return BCrypt.checkpw(rawPassword, encodedPassword);
    }    

    public static void main(String[] args) {
        System.out.println("n=== BCrypt测试 ===");
        String bcryptPwd1 = getBcryptEncryptPwd("123456");
        String bcryptPwd2 = getBcryptEncryptPwd("123456");
        System.out.println("BCrypt加密1: " + bcryptPwd1);
        System.out.println("BCrypt加密2: " + bcryptPwd2);
        System.out.println("两次加密结果不同（因为盐值不同）: " + !bcryptPwd1.equals(bcryptPwd2));
        System.out.println("BCrypt验证1: " + matches("123456", bcryptPwd1));
        System.out.println("BCrypt验证2: " + matches("123456", bcryptPwd2));
        System.out.println("错误密码验证: " + matches("wrong", bcryptPwd1));
    }
}