MD5+Salt加密

我们知道，如果直接对密码进行散列，那么黑客（统称那些有能力窃取用户数据并企图得到用户密码的人）可以对一个已知密码进行散列，然后通过对比散列值得到某用户的密码。换句话说，虽然黑客不能取得某特定用户的密码，但他可以知道使用特定密码的用户有哪些。 

加Salt可以一定程度上解决这一问题。所谓加Salt，就是加点“佐料”。其基本想法是这样的——当用户首次提供密码时（通常是注册时），由系统自动往这个密码里撒一些“佐料”，然后再散列。而当用户登录时，系统为用户提供的代码撒上同样的“佐料”，然后散列，再比较散列值，已确定密码是否正确。 

这里的“佐料”被称作“Salt值”，这个值是由系统随机生成的，并且只有系统知道。这样，即便两个用户使用了同一个密码，由于系统为它们生成的salt值不同，他们的散列值也是不同的。即便黑客可以通过自己的密码和自己生成的散列值来找具有特定密码的用户，但这个几率太小了（密码和salt值都得和黑客使用的一样才行）。 

下面详细介绍一下加Salt散列的过程。介绍之前先强调一点，前面说过，验证密码时要使用和最初散列密码时使用“相同的”佐料。所以Salt值是要存放在数据库里的。

用户注册时：

1）用户提供密码（以及其他用户信息）；

2）系统为用户生成Salt值；

3）系统将Salt值和用户密码连接到一起；

4）对连接后的值进行散列，得到Hash值；

5）将Hash值和Salt值分别放到数据库中。

登录时：

1）用户提供用户名和密码；

2）系统通过用户名找到与之对应的Hash值和Salt值；

3）系统将Salt值和用户提供的密码连接到一起；

4）对连接后的值进行散列，得到Hash'（注意有个“撇”）；

5）比较Hash和Hash'是否相等，相等则表示密码正确，否则表示密码错误。

[java] view plain copy

1. package com.lx.shopping.utils;  
2.   
3. import java.io.UnsupportedEncodingException;  
4. import java.security.MessageDigest;  
5. import java.security.NoSuchAlgorithmException;  
6. import java.security.SecureRandom;  
7. import java.util.Arrays;  
8. /*这是一个非常好用的使用MD5+salt加密的工具类。使用这个工具类，非常简单， 
9. 从前台拿到密码passwd，直接HexUtil.getEncryptedPwd(passwd)就可以返回一个长度为56的字符串， 
10. 可以用来保存到数据库中，相反，登录的时候，因为MD5加密是不可逆的运算，只能拿用户输入的密码走一遍MD5+salt加密之后， 
11. 跟数据库中的passwd比较，看是否一致，一致时密码相同，登录成功，通过调用HexUtil.validPasswd(String passwd,String dbPasswd)方法， 
12. 就可以了，不用再做其他事。*/  
13. public class MD5Util {    
14.     private final static String HEX_NUMS_STR = "0123456789ABCDEF";    
15.     private final static Integer SALT_LENGTH = 12;    
16.     
17.     /**  
18.      * 将16进制字符串转换成数组  
19.      *   
20.      * @return byte[]  
21.      * @author jacob  
22.      * */    
23.     public static byte[] hexStringToByte(String hex) {    
24.         /* len为什么是hex.length() / 2 ?  
25.          * 首先，hex是一个字符串，里面的内容是像16进制那样的char数组  
26.          * 用2个16进制数字可以表示1个byte，所以要求得这些char[]可以转化成什么样的byte[]，首先可以确定的就是长度为这个char[]的一半  
27.          */    
28.         int len = (hex.length() / 2);    
29.         byte[] result = new byte[len];    
30.         char[] hexChars = hex.toCharArray();    
31.         for (int i = 0; i < len; i++) {    
32.             int pos = i * 2;    
33.             result[i] = (byte) (HEX_NUMS_STR.indexOf(hexChars[pos]) << 4 | HEX_NUMS_STR    
34.                     .indexOf(hexChars[pos + 1]));    
35.         }    
36.         return result;    
37.     }    
38.         
39.     /**  
40.      * 将数组转换成16进制字符串  
41.      *   
42.      * @return String  
43.      * @author jacob  
44.      *  
45.      * */    
46.     public static String byteToHexString(byte[] salt){    
47.         StringBuffer hexString = new StringBuffer();    
48.         for (int i = 0; i < salt.length; i++) {    
49.             String hex = Integer.toHexString(salt[i] & 0xFF);    
50.             if(hex.length() == 1){    
51.                 hex = '0' + hex;    
52.             }    
53.             hexString.append(hex.toUpperCase());    
54.         }    
55.         return hexString.toString();    
56.     }    
57.         
58.     /**  
59.      * 密码验证  
60.      * @param passwd 用户输入密码  
61.      * @param dbPasswd 数据库保存的密码  
62.      * @return  
63.      * @throws NoSuchAlgorithmException  
64.      * @throws UnsupportedEncodingException  
65.      */    
66.     public static boolean validPasswd(String passwd, String dbPasswd)    
67.             throws NoSuchAlgorithmException, UnsupportedEncodingException{    
68.         byte[] pwIndb =  hexStringToByte(dbPasswd);    
69.         //定义salt    
70.         byte[] salt = new byte[SALT_LENGTH];    
71.         System.arraycopy(pwIndb, 0, salt, 0, SALT_LENGTH);    
72.         //创建消息摘要对象    
73.         MessageDigest md = MessageDigest.getInstance("MD5");    
74.         //将盐数据传入消息摘要对象    
75.         md.update(salt);    
76.         md.update(passwd.getBytes("UTF-8"));  
77.         byte[] digest = md.digest();    
78.         //声明一个对象接收数据库中的口令消息摘要    
79.         byte[] digestIndb = new byte[pwIndb.length - SALT_LENGTH];    
80.         //获得数据库中口令的摘要    
81.         System.arraycopy(pwIndb, SALT_LENGTH, digestIndb, 0,digestIndb.length);    
82.         //比较根据输入口令生成的消息摘要和数据库中的口令摘要是否相同    
83.         if(Arrays.equals(digest, digestIndb)){    
84.             //口令匹配相同    
85.             return true;    
86.         }else{    
87.             return false;    
88.         }    
89.     }    
90.         
91.     /**  
92.      * 获得md5之后的16进制字符  
93.      * @param passwd 用户输入密码字符  
94.      * @return String md5加密后密码字符  
95.      * @throws NoSuchAlgorithmException  
96.      * @throws UnsupportedEncodingException  
97.      */    
98.     public static String getEncryptedPwd(String passwd)    
99.             throws NoSuchAlgorithmException, UnsupportedEncodingException{    
100.         //拿到一个随机数组，作为盐    
101.         byte[] pwd = null;    
102.         SecureRandom sc= new SecureRandom();    
103.         byte[] salt = new byte[SALT_LENGTH];    
104.         sc.nextBytes(salt);    
105.             
106.         //声明摘要对象，并生成    
107.         MessageDigest md = MessageDigest.getInstance("MD5");   
108.         //计算MD5函数  
109.         md.update(salt);   
110.         //passwd.getBytes("UTF-8")将输入密码变成byte数组，即将某个数装换成一个16进制数  
111.         md.update(passwd.getBytes("UTF-8"));    
112.         //计算后获得字节数组,这就是那128位了即16个元素  
113.         byte[] digest = md.digest();      
114.         pwd = new byte[salt.length + digest.length];    
115.         System.arraycopy(salt, 0, pwd, 0, SALT_LENGTH);    
116.         System.arraycopy(digest, 0, pwd, SALT_LENGTH, digest.length);    
117.         return byteToHexString(pwd);    
118.     }  
119. }