如何选择合适的加密算法？1.sha-256及更高版本提供更强安全性，适用于大多数现代应用；2.md5不安全，易受碰撞攻击，应避免使用；3.密码存储推荐bcrypt或scrypt等计算密集型算法以减缓暴力破解。如何处理盐值？1.生成唯一随机盐值并编码存储；2.将盐值加入哈希计算前缀以防止彩虹表攻击。如何验证哈希密码？1.使用相同盐值和算法重新计算用户输入的哈希值；2.通过恒定时间字符串比较防止定时攻击确保验证过程安全。
在Java中，可以使用java.security.MessageDigest类来实现MD5或SHA加密字符串。核心在于获取MessageDigest实例，更新数据，然后获取摘要并将其转换为十六进制字符串。
import java.security.MessageDigest;
import java.security.NoSuchAlgorithmException;
public class StringHasher {
public static String hashString(String input, String algorithm) {
try {
MessageDigest md = MessageDigest.getInstance(algorithm);
byte[] messageDigest = md.digest(input.getBytes());
// Convert byte array to a hex string
StringBuilder hexString = new StringBuilder();
for (byte b : messageDigest) {
hexString.append(String.format("%02x", b));
}
return hexString.toString();
} catch (NoSuchAlgorithmException e) {
throw new IllegalArgumentException("Algorithm not supported: " + algorithm, e);
}
}
public static void main(String[] args) {
String originalString = "hello world";
String md5Hash = hashString(originalString, "MD5");
System.out.println("MD5 Hash: " + md5Hash);
String sha256Hash = hashString(originalString, "SHA-256");
System.out.println("SHA-256 Hash: " + sha256Hash);
}
}如何选择合适的加密算法？
选择加密算法取决于安全需求。MD5已经被认为是不安全的，因为它容易受到碰撞攻击。 SHA-256及更高版本（如SHA-384、SHA-512）提供了更强的安全性，因此在大多数现代应用中更受欢迎。如果需要更高的安全性，可以考虑使用bcrypt或scrypt等专门用于密码存储的算法。这些算法设计为计算密集型，从而减缓暴力破解的速度。
如何处理加密中的盐值（Salt）？
盐值是在哈希之前添加到密码中的随机数据。 它的目的是防止彩虹表攻击。 盐值应该是唯一的，并与哈希后的密码一起存储。
立即学习“Java免费学习笔记（深入）”；
import java.security.MessageDigest;
import java.security.NoSuchAlgorithmException;
import java.security.SecureRandom;
import java.util.Base64;
public class SaltedStringHasher {
public static String[] hashStringWithSalt(String input, String algorithm) {
try {
// Generate a random salt
SecureRandom random = new SecureRandom();
byte[] salt = new byte[16];
random.nextBytes(salt);
String saltString = Base64.getEncoder().encodeToString(salt);
// Hash the password with the salt
MessageDigest md = MessageDigest.getInstance(algorithm);
md.update(salt); // Add salt to the digest
byte[] messageDigest = md.digest(input.getBytes());
// Convert byte array to a hex string
StringBuilder hexString = new StringBuilder();
for (byte b : messageDigest) {
hexString.append(String.format("%02x", b));
}
return new String[]{hexString.toString(), saltString};
} catch (NoSuchAlgorithmException e) {
throw new IllegalArgumentException("Algorithm not supported: " + algorithm, e);
}
}
public static void main(String[] args) {
String originalString = "password123";
String[] hashResult = hashStringWithSalt(originalString, "SHA-256");
String hashedPassword = hashResult[0];
String salt = hashResult[1];
System.out.println("Hashed Password: " + hashedPassword);
System.out.println("Salt: " + salt);
}
}如何验证哈希后的密码？
验证哈希密码涉及使用相同的盐值和哈希算法重新哈希用户提供的密码，然后将结果与存储的哈希值进行比较。如果哈希值匹配，则密码正确。务必使用恒定时间字符串比较来防止定时攻击。
import java.security.MessageDigest;
import java.security.NoSuchAlgorithmException;
import java.util.Base64;
import java.util.Arrays;
public class PasswordVerifier {
public static boolean verifyPassword(String inputPassword, String storedHash, String salt, String algorithm) {
try {
MessageDigest md = MessageDigest.getInstance(algorithm);
byte[] saltBytes = Base64.getDecoder().decode(salt);
md.update(saltBytes);
byte[] messageDigest = md.digest(inputPassword.getBytes());
StringBuilder hexString = new StringBuilder();
for (byte b : messageDigest) {
hexString.append(String.format("%02x", b));
}
String computedHash = hexString.toString();
// Use constant-time comparison to prevent timing attacks
return constantTimeEquals(computedHash, storedHash);
} catch (NoSuchAlgorithmException e) {
throw new IllegalArgumentException("Algorithm not supported: " + algorithm, e);
}
}
// Constant-time string comparison to prevent timing attacks
private static boolean constantTimeEquals(String a, String b) {
if (a.length() != b.length()) {
return false;
}
int result = 0;
for (int i = 0; i < a.length(); i++) {
result |= a.charAt(i) ^ b.charAt(i);
}
return result == 0;
}
public static void main(String[] args) {
String originalPassword = "password123";
String salt = "someRandomSalt"; // Replace with a real salt
String storedHash = "8d969eef6ecad3c29a3a629280e686cf0c3f5d5a86aff3ca12020c923adc6c92"; // Replace with a real hash
boolean isCorrect = verifyPassword(originalPassword, storedHash, salt, "SHA-256");
System.out.println("Password correct: " + isCorrect);
}
} 
