bcrypt

1. 前言 上一文 我们对Spring Security中的重要用户信息主体 UserDetails 进行了探讨。中间例子我们使用了明文密码，规则是通过对密码明文添加 {noop} 前缀。那么本节将对 Spring Security 中的密码编码进行一些探讨。 2. 不推荐使用md5 首先 md5 不是加密算法，是哈希摘要。以前通常使用其作为密码哈希来保护密码。由于彩虹表的出现， md5 和 sha1 之类的摘要算法都已经不安全了。如果有不相信的同学 可以到一些解密网站 如 cmd5 网站尝试解密 你会发现 md5 和 sha1 是真的非常容易被破解。 3. Spring Security中的密码算法 上一文用户主体 我们提到了 InMemoryUserDetailsManager 初始化Bean 需要传输一个 ObjectProvider<PasswordEncoder> 参数。这里的 PasswordEncoder 就是我们对密码进行编码的工具接口。该接口只有两个功能： 一个是匹配验证。另一个是密码编码。 上图就是Spring Security 提供的 org.springframework.security.crypto.password.PasswordEncoder 一些实现，有的已经过时。其中我们注意到一个叫 委托密码编码器的实现 。 3.1 委托密码编码器

Jenkins访问控制分为：安全域（即认证）与授权策略。 其中，安全域可以采用三种形式，分别为：Jenkins专有用户数据库、LDAP、Servlet容器代理。 Jenkins专有用户的数据信息存放位置： <JENKINS_HOME> /users/ 每个用户的相关信息存放在config.xml文件中： <JENKINS_HOME> /users/ <user> /config.xml 在config.xml文件中 passwordHash节点 可以看到用户名加密后的密文哈希值 那么，它是用何种加密方式加密的呢？可否解密密文得到明文呢？ 在 github 上查看其源码，通过关键字 #jbcrypt 搜索定位到 HudsonPrivateSecurityRealm.java 这个文件 HudsonPrivateSecurityRealm.java详细路径是：jenkins/core/src/main/java/hudson/security/HudsonPrivateSecurityRealm.java 通过分析该源码得知： 1、密文的格式为：salt: encPass， 其中以#jbcrypt表示salt作为数据头 2、明文通过jbcrypt算法得到密文 encPass 关于 jbcrypt： jbcrypt 是bcrypt加密工具的java实现。 它的API非常简单，DEMO如下

我偶尔会听到“使用bcrypt在PHP中存储密码，bcrypt规则”的建议。 但是什么 bcrypt ？PHP不提供任何这样的功能，维基百科关于文件加密实用程序的喋喋不休，Web搜索只是揭示了几种不同语言的 Blowfish 实现。现在Blowfish也可以通过PHP获得 mcrypt ，但这对于存储密码有什么帮助？河豚是一种通用密码，它有两种工作方式。如果它可以被加密，它可以被解密。密码需要单向散列函数。 什么是解释？ bcrypt 是一种哈希算法，可以通过硬件进行扩展（通过可配置的循环次数）。其缓慢和多轮确保攻击者必须部署大量资金和硬件才能破解密码。添加到每个密码 盐 （ bcrypt 需要盐），你可以肯定的是，一个攻击实际上是不可行的，没有可笑的金额或硬件。 bcrypt 使用 Eksblowfish 算法来散列密码。虽然 Eksblowfish 和 Blowfish 的加密阶段完全相同，但 Eksblowfish 的关键调度阶段确保任何后续状态都依赖salt和key（用户密码），并且在没有两者都知道的情况下不能预先计算状态。 由于这个关键差异， bcrypt 是一种单向哈希算法。 如果不知道盐，圆 和密码 （密码），则无法检索纯文本密码。[ 来源 ] 如何使用bcrypt： 使用PHP> = 5.5-DEV 密码散列函数 现在已直接构建到PHP> = 5.5中

用户表的密码通常使用MD5等不可逆算法加密后存储，为防止彩虹表破解更会先使用一个特定的字符串（如域名）加密，然后再使用一个随机的salt（盐值）加密。 特定字符串是程序代码中固定的，salt是每个密码单独随机，一般给用户表加一个字段单独存储，比较麻烦。 BCrypt算法将salt随机并混入最终加密后的密码，验证时也无需单独提供之前的salt，从而无需单独处理salt问题。 用法很简单： //hashed就是明文密码password加密后的结果，存储到数据库 String hashed = BCrypt.hashpw(password, BCrypt.gensalt()); //candidate是明文密码，checkpw方法返回的是boolean if (BCrypt.checkpw(candidate, hashed)) System.out.println("It matches"); else System.out.println("It does not match"); BCrypt下载：http://www.mindrot.org/projects/jBCrypt/ 来源： oschina 链接： https://my.oschina.net/u/76091/blog/492885