Spring上Bcrypt实现的可能错误[重复]

Question

我正在测试将我们的密码哈希从 sha-256 移动到 sha-512 或 bcrypt。为此，我实现了一个非常简单的测试，但是我发现当 Bcrypt 尝试将其与相同的 rawPassword + 任何其他内容进行匹配时，使用特定的 rawPassword 会失败，返回 true 而不是 false。也许和编码有关，但我不确定。

... 



    @Test
    public void testEncodePassword() {
            final String rawPassword = "¡Oh envidia, raíz de infinitos males y carcoma de las virtudes!";

            PasswordEncoder passwordEncoder = new BCryptPasswordEncoder();

            String encodedPassword = passwordEncoder.encode(rawPassword);

            assertTrue(passwordEncoder.matches(rawPassword,encodedPassword));
            assertFalse(passwordEncoder.matches("dds",encodedPassword));
            assertFalse(passwordEncoder.matches("dds"+rawPassword,encodedPassword));
            assertFalse(passwordEncoder.matches(rawPassword+"something else",encodedPassword));


    }

...

Answer 1

Bcrypt has a maximum password length of 72 (bytes)。 Java 使用 UTF-16 对字符串进行编码，因此您使用的密码长度约为 128 个字节：

>>> len("¡Oh envidia, raíz de infinitos males y carcoma de las virtudes!".encode('utf-16'))
128

如果您想支持更长的密码，请使用与 bcrypt 不同的密码，或者您必须在将密码输入 bcrypt 之前以某种方式对密码进行哈希处理（在安全网站上询问如何安全地执行此操作）。