密碼編碼器概述

通過第三章的學習，您應該已經對UserDetails接口及其多種實現方式有了清晰認識。如第二章所述，在認證授權流程中，不同參與者負責管理用戶憑證的表示形式，其中UserDetailsService和PasswordEncoder等組件都提供了默認實現。本節將重點分析PasswordEncoder的核心機制，圖4.1展示了其在Spring Security認證流程中的關鍵位置。

密碼編碼的必要性

系統通常不會以明文形式存儲密碼，而是通過特定轉換算法使其難以被直接讀取。Spring Security為此專門定義了PasswordEncoder契約。其核心職責體現在兩個抽象方法上：

• encode(CharSequence rawPassword)：對原始密碼進行轉換
• matches(CharSequence rawPassword, String encodedPassword)：驗證密碼匹配性

這兩個方法具有強關聯性——通過encode()方法生成的編碼結果必須能被同一編碼器的matches()方法驗證。

基礎實現示例

最簡單的實現是明文密碼編碼器（類似NoOpPasswordEncoder）：

public class PlainTextPasswordEncoder implements PasswordEncoder {@Overridepublic String encode(CharSequence rawPassword) {return rawPassword.toString();}@Overridepublic boolean matches(CharSequence rawPassword, String encodedPassword) {return rawPassword.equals(encodedPassword);}
}

更安全的實現可采用SHA-512哈希算法：

public class Sha512PasswordEncoder implements PasswordEncoder {@Overridepublic String encode(CharSequence rawPassword) {return hashWithSHA512(rawPassword.toString());}private String hashWithSHA512(String input) {// 具體哈希實現代碼...}
}

內置編碼器類型

Spring Security提供了多種開箱即用的實現：

1. NoOpPasswordEncoder
   僅用于示例的明文存儲，生產環境嚴禁使用：

   PasswordEncoder p = NoOpPasswordEncoder.getInstance();
   

2. StandardPasswordEncoder（已棄用）
   基于SHA-256算法，新項目不建議使用

3. Pbkdf2PasswordEncoder
   基于PBKDF2算法，可配置迭代次數：

   PasswordEncoder p = new Pbkdf2PasswordEncoder("secret", 16, 310000, Pbkdf2PasswordEncoder.SecretKeyFactoryAlgorithm.PBKDF2WithHmacSHA256);
   

4. BCryptPasswordEncoder
   推薦方案，支持強度系數配置：

   PasswordEncoder p = new BCryptPasswordEncoder(4);
   

5. SCryptPasswordEncoder
   需要配置CPU/內存成本等參數

多編碼策略委托模式

當系統需要支持多種編碼算法時（如逐步升級哈希算法），可采用DelegatingPasswordEncoder：

@Bean
public PasswordEncoder passwordEncoder() {Map encoders = new HashMap<>();encoders.put("noop", NoOpPasswordEncoder.getInstance());encoders.put("bcrypt", new BCryptPasswordEncoder());return new DelegatingPasswordEncoder("bcrypt", encoders);
}

該實現通過密碼前綴（如{bcrypt}$2a$10$...）自動選擇對應的編碼器，無前綴時使用默認編碼器。Spring Security還提供了快捷創建方法：

PasswordEncoder passwordEncoder = PasswordEncoderFactories.createDelegatingPasswordEncoder();

術語辨析

• 編碼(Encoding)：任意形式的輸入轉換
• 加密(Encrypting)：需要密鑰的可逆轉換
• 哈希(Hashing)：不可逆的單向轉換，通常包含加鹽機制

表4.1總結了Spring Security認證流程中的核心契約：

契約接口	職責描述
UserDetails	Spring Security中的用戶實體表示
GrantedAuthority	定義用戶被允許的操作權限
UserDetailsService	根據用戶名獲取用戶詳情
UserDetailsManager	擴展用戶管理功能的增強接口
PasswordEncoder	定義密碼編碼與驗證規范

PasswordEncoder接口解析

核心方法設計

PasswordEncoder接口定義了密碼處理的核心契約，包含三個關鍵方法：

public interface PasswordEncoder {String encode(CharSequence rawPassword);boolean matches(CharSequence rawPassword, String encodedPassword);default boolean upgradeEncoding(String encodedPassword) { return false; }
}

encode()方法：原始密碼轉換

作為密碼編碼的入口方法，encode(CharSequence rawPassword)接收原始密碼字符序列，返回經過特定算法轉換后的字符串。在Spring Security的上下文中，該方法主要用于實現以下兩種轉換邏輯：

1. 加密處理（如AES等可逆算法）
2. 哈希計算（如SHA系列不可逆算法）

典型實現要求：

• 必須保證冪等性：相同輸入始終產生相同輸出
• 推薦引入隨機鹽值增強安全性
• 應當避免輸出包含原始密碼的任何特征

matches()方法：密碼驗證核心

matches(CharSequence rawPassword, String encodedPassword)方法構成認證流程的核心校驗環節，其實現必須與encode()方法保持嚴格的邏輯一致性。方法參數包含：

• rawPassword：用戶提交的原始密碼
• encodedPassword：系統存儲的已編碼密碼

實現要點：

@Override
public boolean matches(CharSequence rawPassword, String encodedPassword) {// 必須采用與