spring-security密码加密解析

spring security中的BCryptPasswordEncoder方法采用SHA-256 +随机盐+密钥对密码进行加密。SHA系列是Hash算法，不是加密算法，使用加密算法意味着可以解密（这个与编码/解码一样），但是采用Hash处理，其过程是不可逆的。

（1）加密(encode)：注册用户时，使用SHA-256+随机盐+密钥把用户输入的密码进行hash处理，得到密码的hash值，然后将其存入数据库中。

（2）密码匹配(matches)：用户登录时，密码匹配阶段并没有进行密码解密（因为密码经过Hash处理，是不可逆的），而是使用相同的算法把用户输入的密码进行hash处理，得到密码的hash值，然后将其与从数据库中查询到的密码hash值进行比较。如果两者相同，说明用户输入的密码正确。

保存在数据库中的用户密码是使用SHA-256 +随机盐+密钥对密码加密后的结果，使用随机盐可以确保每次加密的结果不一样而进行密码匹配的时候只需要比较密码的hash值，其他的不在比较范围之内。
测试见测
用户注册时对密码进行加密

@RequestMapping("/add")
public Result add(@RequestBody TbSeller seller){
	try {
		//密码加密
		BCryptPasswordEncoder encoder = new BCryptPasswordEncoder();
		seller.setPassword(encoder.encode(seller.getPassword()));

		// 添加默认的字段信息
		// 0 表示未审核
		seller.setStatus("0");
		// 申请时间
		seller.setCreateTime(new Date());
		sellerService.add(seller);
		return new Result(true, "增加成功");
	} catch (Exception e) {
		e.printStackTrace();
		return new Result(false, "增加失败");
	}
}

对spring-security.xml进行修改，确保登录时对用户输入的密码进行加密操作

<?xml version="1.0" encoding="UTF-8"?>
<beans:beans xmlns="http://www.springframework.org/schema/security"
             xmlns:beans="http://www.springframework.org/schema/beans"
             xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
             xsi:schemaLocation="http://www.springframework.org/schema/beans
		http://www.springframework.org/schema/beans/spring-beans.xsd
		http://www.springframework.org/schema/security
		http://www.springframework.org/schema/security/spring-security.xsd">

    <!-- 以下资源不被拦截 -->
    <http pattern="/css/**" security="none"/>
    <http pattern="/img/**" security="none"/>
    <http pattern="/js/**" security="none"/>
    <http pattern="/plugins/**" security="none"/>


    <http pattern="/seller/add.do" security="none"/>
    <http pattern="/*.html" security="none"/>

    <!-- 页面拦截规则 -->
    <http use-expressions="false">
        <intercept-url pattern="/**" access="ROLE_SELLER" />
        <form-login login-page="/shoplogin.html"
                    default-target-url="/admin/index.html" authentication-failure-url="/shoplogin.html"
                    always-use-default-target="true" />
        <csrf disabled="true" />
        <headers>
            <frame-options policy="SAMEORIGIN" />
        </headers>
        <logout />
    </http>

    <!-- 认证管理器 -->
    <authentication-manager>
        <authentication-provider user-service-ref="userDetailService">
            <password-encoder ref="bcryptEncoder"/>
        </authentication-provider>
    </authentication-manager>

    <!-- 定义自定义认证类 -->
    <beans:bean id="userDetailService" class="com.offcn.service.UserDetailsServiceImpl"/>
    <!--密码加密处理类-->
    <beans:bean id="bcryptEncoder"
                class="org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder" />
</beans:beans>