当前位置：首页 > 后端开发 > 正文

Java如何修改用户密码？

admin
后端开发
2025-06-09
2461

在Java中修改密码需验证原密码，接收新密码并二次确认，校验复杂度规则后加密存储，通常结合数据库操作更新用户密码字段，注意使用BCrypt等强哈希算法加密，确保安全性。

核心安全原则

禁止明文存储：密码必须哈希加密后存储（推荐BCrypt）
新旧密码校验：验证旧密码正确性+新密码复杂度
防暴力破解：失败次数限制（如5次锁定）
数据传输安全：使用HTTPS协议

完整实现步骤

数据库表设计（MySQL示例）

CREATE TABLE users (
    id INT PRIMARY KEY AUTO_INCREMENT,
    username VARCHAR(50) UNIQUE NOT NULL,
    password_hash VARCHAR(100) NOT NULL,  -- 存储哈希值
    salt VARCHAR(50)                      -- 若使用非自适应算法需盐值
);

密码工具类（使用BCrypt）

import org.mindrot.jbcrypt.BCrypt;
public class PasswordUtils {
    // 生成带盐哈希密码
    public static String hashPassword(String plainPassword) {
        return BCrypt.hashpw(plainPassword, BCrypt.gensalt(12));
    }
    // 验证密码
    public static boolean verifyPassword(String plainPassword, String hashedPassword) {
        return BCrypt.checkpw(plainPassword, hashedPassword);
    }
}

修改密码Service层

import javax.security.auth.login.CredentialException;
import java.sql.*;
public class PasswordService {
    public boolean changePassword(String username, 
                                 String oldPassword, 
                                 String newPassword) 
                                 throws CredentialException {
        // 1. 验证新密码复杂度
        if (!validatePasswordComplexity(newPassword)) {
            throw new IllegalArgumentException("密码需含大小写字母、数字及特殊字符，长度≥8");
        }
        // 2. 获取数据库存储的哈希密码
        String storedHash = getStoredPasswordHash(username);
        if (storedHash == null) throw new CredentialException("用户不存在");
        // 3. 校验旧密码
        if (!PasswordUtils.verifyPassword(oldPassword, storedHash)) {
            throw new CredentialException("旧密码错误");
        }
        // 4. 更新为新密码
        String newHash = PasswordUtils.hashPassword(newPassword);
        updatePasswordInDB(username, newHash);
        return true;
    }
    private boolean validatePasswordComplexity(String password) {
        String pattern = "^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[@$!%*?&])[A-Za-z\d@$!%*?&]{8,}$";
        return password.matches(pattern);
    }
    // 数据库操作省略（需使用PreparedStatement防SQL注入）
}

Controller层示例（Spring Boot）

import org.springframework.web.bind.annotation.*;
import javax.security.auth.login.CredentialException;
@RestController
@RequestMapping("/api/user")
public class PasswordController {
    private final PasswordService passwordService;
    @PostMapping("/change-password")
    public ResponseEntity<?> changePassword(
            @RequestParam String username,
            @RequestParam String oldPassword,
            @RequestParam String newPassword) {
        try {
            passwordService.changePassword(username, oldPassword, newPassword);
            return ResponseEntity.ok().body("密码修改成功");
        } catch (CredentialException e) {
            return ResponseEntity.status(401).body(e.getMessage());
        } catch (IllegalArgumentException e) {
            return ResponseEntity.badRequest().body(e.getMessage());
        }
    }
}

关键安全措施

风险点	防御方案
彩虹表攻击	使用BCrypt（内建盐值+自适应成本）
SQL注入	严格使用PreparedStatement
中间人窃听	强制HTTPS通信
暴力破解	账户锁定机制+验证码
密码复杂度不足	正则表达式强制校验