对于最新的稳定版本，请使用 Spring Security 6.4.1！spring-doc.cn

Spring Security 加密模块

介绍

Spring Security Crypto 模块提供了对对称加密、密钥生成和密码编码的支持。 该代码作为核心模块的一部分分发，但不依赖于任何其他 Spring Security（或 Spring）代码。spring-doc.cn

加密程序

Encryptors 类提供了用于构造对称加密器的工厂方法。 使用这个类，你可以创建 ByteEncryptors 来加密原始 byte[] 形式的数据。 您还可以构造 TextEncryptors 来加密文本字符串。 加密程序是线程安全的。spring-doc.cn

字节加密器

使用工厂方法构造 BytesEncryptor：Encryptors.strongerspring-doc.cn

字节加密器
Encryptors.stronger("password", "salt");
Encryptors.stronger("password", "salt")

“更强”的加密方法使用 256 位 AES 加密创建一个加密程序，其中 伽罗瓦计数器模式 （GCM）。 它使用 PKCS #5 的 PBKDF2（基于密码的密钥派生功能 #2）派生密钥。 此方法需要 Java 6。 用于生成 SecretKey 的密码应保存在安全的地方，不得共享。 盐用于防止在加密数据泄露时对密钥进行字典攻击。 此外，还应用了 16 字节的随机初始化向量，因此每条加密消息都是唯一的。spring-doc.cn

提供的盐应为十六进制编码的 String 形式，是随机的，并且长度至少为 8 个字节。 这样的盐可以使用 KeyGenerator 生成：spring-doc.cn

生成密钥
String salt = KeyGenerators.string().generateKey(); // generates a random 8-byte salt that is then hex-encoded
val salt = KeyGenerators.string().generateKey() // generates a random 8-byte salt that is then hex-encoded

用户还可以使用加密方法，即密码块链接 （CBC） 模式下的 256 位 AES。 此模式未经身份验证，也不提供任何 保证数据的真实性。 对于更安全的替代方案，用户应该更喜欢 .standardEncryptors.strongerspring-doc.cn

文本加密器

使用 Encryptors.text 工厂方法构造标准 TextEncryptor：spring-doc.cn

文本加密器
Encryptors.text("password", "salt");
Encryptors.text("password", "salt")

TextEncryptor 使用标准 BytesEncryptor 来加密文本数据。 加密结果以十六进制编码的字符串形式返回，以便于存储在文件系统或数据库中。spring-doc.cn

使用 Encryptors.queryableText 工厂方法构造一个 “queryable” TextEncryptor：spring-doc.cn

可查询的 TextEncryptor
Encryptors.queryableText("password", "salt");
Encryptors.queryableText("password", "salt")

可查询的 TextEncryptor 和标准 TextEncryptor 之间的区别与初始化向量 （iv） 处理有关。 可查询的 TextEncryptor#encrypt 操作中使用的 iv 是共享的或常量的，不是随机生成的。 这意味着多次加密的相同文本将始终产生相同的加密结果。 这不太安全，但对于需要查询的加密数据是必需的。 可查询加密文本的一个示例是 OAuth apiKey。spring-doc.cn

密钥生成器

KeyGenerators 类提供了许多方便的工厂方法来构造不同类型的密钥生成器。 使用此类，您可以创建 BytesKeyGenerator 来生成 byte[] 键。 您还可以构造 StringKeyGenerator 来生成字符串键。 KeyGenerator 是线程安全的。spring-doc.cn

字节键生成器

使用 KeyGenerators.secureRandom 工厂方法生成由 SecureRandom 实例支持的 BytesKeyGenerator：spring-doc.cn

字节键生成器
BytesKeyGenerator generator = KeyGenerators.secureRandom();
byte[] key = generator.generateKey();
val generator = KeyGenerators.secureRandom()
val key = generator.generateKey()

默认密钥长度为 8 字节。 还有一个 KeyGenerators.secureRandom 变体，用于控制密钥长度：spring-doc.cn

密钥生成器.secureRandom
KeyGenerators.secureRandom(16);
KeyGenerators.secureRandom(16)

使用 KeyGenerators.shared 工厂方法构造一个 BytesKeyGenerator，该方法在每次调用时始终返回相同的键：spring-doc.cn

KeyGenerators.shared
KeyGenerators.shared(16);
KeyGenerators.shared(16)

字符串密钥生成器

使用 KeyGenerators.string 工厂方法构造一个 8 字节的 SecureRandom KeyGenerator，该密钥将每个密钥作为 String 进行十六进制编码：spring-doc.cn

字符串密钥生成器
KeyGenerators.string();
KeyGenerators.string()

密码编码

spring-security-crypto模块的password包提供了对密码编码的支持。 是中央服务接口，并具有以下签名：PasswordEncoderspring-doc.cn

public interface PasswordEncoder {
	String encode(CharSequence rawPassword);

	boolean matches(CharSequence rawPassword, String encodedPassword);

	default boolean upgradeEncoding(String encodedPassword) {
		return false;
	}
}

如果 rawPassword 在编码后等于 encodedPassword，则 matches 方法返回 true。 此方法旨在支持基于密码的身份验证方案。spring-doc.cn

该实现使用广泛支持的 “bcrypt” 算法对密码进行哈希处理。 Bcrypt 使用随机的 16 字节盐值，是一种故意放慢速度的算法，以阻止密码破解程序。 它所做的工作量可以使用 “strength” 参数进行调整，该参数的值范围为 4 到 31。 值越高，计算哈希所需的工作就越多。 默认值为 10。 您可以在已部署的系统中更改此值，而不会影响现有密码，因为该值也存储在编码的哈希中。BCryptPasswordEncoderspring-doc.cn

BCryptPasswordEncoder （BCryptPasswordEncoder）
// Create an encoder with strength 16
BCryptPasswordEncoder encoder = new BCryptPasswordEncoder(16);
String result = encoder.encode("myPassword");
assertTrue(encoder.matches("myPassword", result));
// Create an encoder with strength 16
val encoder = BCryptPasswordEncoder(16)
val result: String = encoder.encode("myPassword")
assertTrue(encoder.matches("myPassword", result))

该实现使用 PBKDF2 算法对密码进行哈希处理。 为了击败密码破解，PBKDF2 是一种故意缓慢的算法，应调整为大约需要 5 秒来验证系统上的密码。Pbkdf2PasswordEncoderspring-doc.cn

Pbkdf2PasswordEncoder
// Create an encoder with all the defaults
Pbkdf2PasswordEncoder encoder = new Pbkdf2PasswordEncoder();
String result = encoder.encode("myPassword");
assertTrue(encoder.matches("myPassword", result));
// Create an encoder with all the defaults
val encoder = Pbkdf2PasswordEncoder()
val result: String = encoder.encode("myPassword")
assertTrue(encoder.matches("myPassword", result))