SHA512 的函数对不同的输入返回相同的结果

Question

我正在尝试实现一个登录屏幕，您的所有输入都由 SHA 512 加密，稍后对该功能进行一些小调整（反转字符串，扩展长度）。对于我的用户名，加密效果很好，但另一方面，无论我输入什么，我的密码都会给我相同的结果。 public static String password_encrypt(String input) {    try {        String password_ = input;        int iterations = 250000;        String salt = "salt";        SecretKeyFactory factory = SecretKeyFactory.getInstance("PBKDF2WithHmacSHA512");        char[] passwordChars = password_.toCharArray();        KeySpec spec = new PBEKeySpec(passwordChars, salt.getBytes(), iterations, 256);        SecretKey key = factory.generateSecret(spec);        byte[] passwordHash = key.getEncoded();        SecretKey secret = new SecretKeySpec(key.getEncoded(), "AES");        input = secret.toString();    } catch (NoSuchAlgorithmException e) {        // TODO Auto-generated catch block        e.printStackTrace();    } catch (InvalidKeySpecException e) {        // TODO Auto-generated catch block        e.printStackTrace();    }    return input;}然后我检查一个数组是否有一个可以放置信息的地方，如果有一个存储在那里。 for (int i = 0; i < username.length; i++) {        System.out.println("username " + username[i]);        if (name.equals(username[i])) {            System.out.println("Dieser Username ist bereits vergeben!");            break;        }        if ("empty".equals(username[i]) || null == username[i]) {            username[i] = name;            stelle = i;            System.out.println("Username wurde vergeben");            break;        }         else if (name.equals(username[i])) {            System.out.println("1234");        }    }数组 username[] 和 password[] 由我的构造函数填充为“空”或 null。我的主要问题是：无论密码输入是什么，我都会得到相同的密钥：javax.crypto.spec.SecretKeySpec@fffea4cc如果我只是比较字符串以确定它是否正确，这会给我带来很大的安全漏洞......

Answer 1

提供的代码有几个问题，首先它使用了静态弱盐。虽然有比 PBKDF2（➽ Argon2、BCrypt、SCrypt）更好的密码保护算法，但如果实施正确，它可以使用。在那里，我想推荐著名的库Defuse，它使密码哈希和验证变得轻而易举，它可以作为单个类文件包含在内。

顺便说一句，散列密码无法反转，散列与加密不同。