BCrypt 是一种专门用于密码存储的哈希算法，不是传统意义上可解密的加密方式。它由 Niels Provos 和 Da vid Mazi&egra ve;res 于 1999 年设计 ，核心特点是每次加密结果都不同（因为自动加盐），且计算速度可调节，能有效抵御暴力 破解 。
工作原理
- 自动加盐：每次加密时自动生成随机盐值，即使两个用户密码相同，加密后的结果也完全不同 。
- 成本因子可调：通过设置“轮数”（如 10、12）控制计算耗时，轮数每增加 1，计算时间翻倍 。
- 单向不可逆：加密后的哈希值无法还原成原始密码，只能通过比对验证 。
BCrypt 的安全性由“工作因子”（也称为 strength 或 log rounds）决定。该值每增加 1，计算耗时约翻倍。
| 工作因子 (Cost) | 迭代次数 (2n) | 预估耗时 (现代 CPU) | 适用场景建议 |
|---|---|---|---|
| 10 | 1,024 | ~50-80 ms | 开发/测试环境，或对性能极度敏感且安全风险较低的内部系统。（默认值） |
| 12 | 4,096 | ~200-300 ms | 通用生产环境推荐起点。大多数互联网应用、电商平台的平衡选择。 |
| 14 | 16,384 | ~800ms - 1.2s | 高安全敏感系统（如金融、支付、医疗）。需确保服务器性能充足。 |
| >14 | >16,384 | >2s | 不推荐。除非有特殊合规要求，否则会导致用户登录明显卡顿，且容易引发并发下的 CPU 瓶颈。 |
优势
为什么安全：
- 防彩虹表攻击：随机盐值让预计算的攻击表失效 。
- 防暴力 破解：成本因子让每次尝试都耗时，攻击者成本极高 。
- 自适应升级：硬件变强后可提高轮数，保持安全性 。
破解难度：
- 无法解密：哈希是单向的，不存在“解密”一说 。
- 只能暴力尝试：攻击者只能不断试密码比对哈希，成本因子设为 12 时，单次验证约 400ms，暴力 破解几乎不可行 。
与其他算法对比：
- 比 MD5/SHA-1 安全：MD5 易被暴力 破解，不再推荐用于密码存储 。
- 与 SHA-256 对比：SHA-256 计算太快，不适合密码存储；BCrypt 故意慢，更适合 。
示例代码
添加依赖
org.mindrot jbcrypt 0.4
密码工具类
package com.zibocoder.plugins.common.utils;
import cn.hutool.core.util.RandomUtil;
import cn.hutool.core.util.StrUtil;
import cn.hutool.crypto.SmUtil;
import org.mindrot.jbcrypt.BCrypt;
/**
* 密码工具类
*/
public class PasswordUtil {
/**
* BCrypt密码加密（使用jBCrypt库）
* BCrypt.gensalt方法参数不写默认10，可用于开发测试环境，生产环境推荐值为 12
*/
public static String getBcryptEncryptPwd(String password) {
return BCrypt.hashpw(password, BCrypt.gensalt(12));
}
/**
* BCrypt密码验证（使用jBCrypt库）
* @param rawPassword 原始密码
* @param encodedPassword 已加密的密码
*/
public static boolean matches(String rawPassword, String encodedPassword) {
// 处理空值和空字符串情况
if (StrUtil.isBlank(rawPassword) || StrUtil.isBlank(encodedPassword)) {
return false;
}
return BCrypt.checkpw(rawPassword, encodedPassword);
}
public static void main(String[] args) {
System.out.println("n=== BCrypt测试 ===");
String bcryptPwd1 = getBcryptEncryptPwd("123456");
String bcryptPwd2 = getBcryptEncryptPwd("123456");
System.out.println("BCrypt加密1: " + bcryptPwd1);
System.out.println("BCrypt加密2: " + bcryptPwd2);
System.out.println("两次加密结果不同（因为盐值不同）: " + !bcryptPwd1.equals(bcryptPwd2));
System.out.println("BCrypt验证1: " + matches("123456", bcryptPwd1));
System.out.println("BCrypt验证2: " + matches("123456", bcryptPwd2));
System.out.println("错误密码验证: " + matches("wrong", bcryptPwd1));
}
} 
