关于密码泄漏的历史事件

2011年12月，当时最大的程序员社区网站CSDN泄漏用户账号密码，还是明文。
2014年，携程网，小米论坛
2015年，网易邮箱

以上数据来自网络新闻，不保证准确性，只为了说明密码加密很重要。

账号密码加密为了解决什么问题呢？

用户密码明文不可以给任何人看到，包括管理员
即使被复制了库也不可以被破解

如何对用户密码进行保护呢？

从用户输入密码时开始，密码就有了，传输，保存到数据库里。这是设置密码。

验证密码也是，从用户输入，到服务器中读取密码。

所以，我们要从用户输入，数据传输，数据存储这些方面去保护好密码。

比如说，用户输入，要对用户的输入内容进行保护，用星号掩盖密码。客户端自定义键盘输入。
如果用户的密码比较简单，还得提醒用户使用复杂密码。
比如说数据传输，要对数据进行加密后进行传输。
比如说数据存储，要对数据加密后进行存储。

加密方式

不能用明文保存密码

前面那些大网站竟然用明文保存密码，这个太不可思议了，而且还是技术社区网站。

所以，不可以使用明文保存密码，这个太愚蠢了。

不可以使用简单的加密

比如说进行简单的转换移位之类的，一旦用字典试破以后，其他密码就全破解了。

不可使用可逆转的加密方式

也就是说，明文可以转密文，密文也可以转明文。这些加密算法不要使用到密码加密上。

使用加盐加密

什么是加盐加密呢?

比如说我们大家都知道MD5加密

比如说我们md5("1234567890"),加密结果为

e807f1fcf82d132f9bb018ca6738a19f

我们加上一个盐值：1jkoajiw!@#

变成了：md5("12345678901jkoajiw!@#")

加密结果：

e82e076b29b6de4224535e4b72b71bb5

当然啦，Hash算法有很多种，比如说MD2、MD4、MD5、HAVAL、SHA-1、SHA256、SHA512、RipeMD、WHIRLPOOL、SHA3、HMAC...

相同内容，同样设备，时间纬度，MD5会比较快一点，SHA-256会慢一点。

生成盐的准则：

盐由随机函数生成
不同的用户使用不同的盐值

Web开发密码加密

我们使用java开发Web时通常怎么做呢？

不是有框架嘛，对吧！

我们使用SpringSecurity里面就有BCryptPasswordEncoder

里面有个方法叫encode

java

复制代码

	public String encode(CharSequence rawPassword) {
		String salt;
		if (strength > 0) {
			if (random != null) {
				salt = BCrypt.gensalt(strength, random);
			}
			else {
				salt = BCrypt.gensalt(strength);
			}
		}
		else {
			salt = BCrypt.gensalt();
		}
		return BCrypt.hashpw(rawPassword.toString(), salt);
	}

连盐都自己搞定了，是不是很方便呢？

ok了，加密码，我们以直接通过encode方法

那么解密呢？

没有解密的，这是不可逆的算法

那怎么办呢？怎么判断用户登陆时密码是否正确呢？

有matches方法嘛

java

复制代码

public boolean matches(CharSequence rawPassword, String encodedPassword) {
		if (encodedPassword == null || encodedPassword.length() == 0) {
			logger.warn("Empty encoded password");
			return false;
		}

		if (!BCRYPT_PATTERN.matcher(encodedPassword).matches()) {
			logger.warn("Encoded password does not look like BCrypt");
			return false;
		}

		return BCrypt.checkpw(rawPassword.toString(), encodedPassword);
	}