BCrypt 的密码加密
介绍
BCrypt 算法是目前使用比较广泛的加密解密算法，SpringSecurity 中提供了 BCryptPasswordEncoder 类。
-
同一个密码，每次生成的hash都是不一样的。
-
既然每次hash都不一样，那么如何判断加密是否正确呢？ 是这样的：在加密的时候，先随机获取salt，然后跟password进行hash。在下一次校验的时候，从hash中取出salt，salt跟password进行hash，得到的结果跟保存在在数据库的hash进行比较。
-
生成的密码中，$是分割符，无意义；2a是bcrypt加密版本号；10是cost的值（默认值）；而后的前22位是salt值；再然后的字符串就是密码的密文了
-
BCrypt是单向的，而且经过salt和cost的处理，使其受rainbow攻击破解的概率大大降低，同时破解的难度也提升不少
-
加盐：如果两个人或多个人的密码相同，加密后保存会得到相同的结果。破一个就可以破一片的密码。如果名为A的用户可以查看数据库，那么他可以观察到自己的密码和别人的密码加密后的结果都是一样，那么，别人用的和自己就是同一个密码，这样，就可以利用别人的身份登录了。其实只要稍微混淆一下就能防范住了，这在加密术语中称为“加盐”。具体来说就是在原有材料（用户自定义密码）中加入其它成分（一般是用户自有且不变的因素），以此来增加系统复杂度。当这种盐和用户密码相结合后，再通过摘要处理，就能得到隐蔽性更强的摘要值。
优点
自己写的加密算法或者 MD5，同一个密码生成的 Hash 值事一样的，而 BCrypt 算法每次加密生成的 Hash 值是不同的。
必须明确一点：
Bcrypt 是单向 Hash 加密算法，类似 Pbkdf2 算法 不可反向破解生成明文。
使用说明
一、Bcrypt 有四个变量：
- saltRounds: 正数，代表 hash 杂凑次数，数值越高越安全，默认 10 次。
- myPassword: 明文密码字符串。
- salt: 盐，一个 128bits 随机字符串，22 字符
- myHash: 经过明文密码 password 和盐 salt 进行 hash，个人的理解是默认 10 次下 ，循环加盐 hash10 次，得到 myHash
每次明文字符串 myPassword 过来，就通过 10 次循环加盐 salt 加密后得到 myHash, 然后拼接 BCrypt 版本号 + salt 盐 + myHash 等到最终的 bcrypt 密码 ，存入数据库中。
这样同一个密码，每次登录都可以根据自省业务需要生成不同的 myHash, myHash 中包含了版本和 salt，存入数据库。
二、bcrypt 密码图解：
如 Spring Security crypt 项目中实现的 BCrypt 方法加密：BCrypt.hashpw(myPassword, BCrypt.gensalt())
那即使黑客得到了 bcrypt 密码，他也无法转换明文，因为之前说了 bcrypt 是单向 hash 算法；
三、那如果黑客使用彩虹表进行 hash 碰撞呢?
有文章指出 bcrypt 一个密码出来的时间比较长，需要 0.3 秒，而 MD5 只需要一微秒（百万分之一秒），一个 40 秒可以穷举得到明文的 MD5，在 bcrypt 需要 12 年，时间成本太高，这我就没仔细研究，详细可看陈皓的
四、那他是如何验证密码的？
在下次校验时，从 myHash 中取出 salt，salt 跟 password 进行 hash；得到的结果跟保存在 DB 中的 hash 进行比对。
如 Spring Security crypto 项目中实现的 BCrypt 密码验证 BCrypt.checkpw(candidatePassword, dbPassword)
未完。