17370845950

必须避免用 equals() 明文比较密码，因易引发时序攻击、内存残留等风险；应使用 char[] 接收并擦除，存储用 BCrypt 或 PBKDF2 强哈希，校验用恒定时间 isEqual()。

Java登录注册中密码明文校验为什么必须避免

直接用 equals() 比较用户输入的密码和数据库存的明文，等于把安全大门敞开。哪怕只在开发环境这么干，也会惯出坏习惯——比如忘记加盐哈希、忽略时序攻击风险、或误把 String 当作可变缓冲区反复拼接。

• 密码字段必须用 char[] 接收并立即擦除，避免堆内存残留（String 不可变，GC 前一直存在）
• 存储必须用强哈希：优先选 BCryptPasswordEncoder（Spring Security）或 PBKDF2WithHmacSHA256（原生），别手写 MD5 或 SHA-1
• 校验时用恒定时间比较函数，如 MessageDigest.isEqual()，防止通过响应时间推断密码长度

用户名和邮箱的字符串校验不能只靠正则

前端传来的 username 和 email 字段，光用 Pattern.compile("^[a-zA-Z0-9_]{3,16}$") 过滤远远不够。真实系统里，你要同时处理空格截断、Unicode 混淆、SQL 注入上下文、以及大小写归一化问题。

• 先调用 trim() 去首尾空白，再检查是否为空（StringUtils.isBlank() 更安全）
• 邮箱校验别只信客户端正则，后端必须调用 InternetAddress 解析或至少用 javax.mail.internet.AddressException 捕获格式错误
• 用户名若需支持国际化（如中文名），禁止用 [a-zA-Z] 类正则；改用 Character.isLetterOrDigit() 逐字符判断，并排除零宽空格（\u200B）、连字符变体等

Spring Boot 中 Controller 层的参数校验容易漏掉什么

很多人给 @RequestBody 对象加了 @NotBlank 就以为万事大吉，但实际请求可能根本没进到这层——比如 JSON 解析失败抛出 HttpMessageNotReadableException，或者字段类型不匹配导致绑定为 null 后才开始校验。

• 必须配 @Valid 在 DTO 上，且每个嵌套对象也要加 @Valid（否则内部字段不触发校验）
• 对非空校验，@NotBlank 只防 null 和纯空格，但不会拦住 "　"（全角空格）或 "\t\n"，建议额外加自定义注解 @NoWhitespace
• 统一异常处理器要捕获 MethodArgumentNotValidException 和 ConstraintViolationException 两类，前者对应 @Valid，后者对应 @Validated 分组校验

密码强度校验该用规则引擎还是硬编码

硬编码一堆 if (pwd.length() 看似简单，实则难维护、难测试、难扩展（比如运营突然要求「不允许连续三位相同数字」）。但引入 Drools 这类引擎又过度设计。

更务实的做法是封装一个轻量校验器：

public class PasswordStrengthValidator {
    private static final Pattern HAS_UPPER = Pattern.compile("[A-Z]");
    private static final Pattern HAS_LOWER = Pattern.compile("[a-z]");
    private static final Pattern HAS_DIGIT = Pattern.compile("\\d");
    private static final Pattern HAS_SPECIAL = Pattern.compile("[!@#$%^&*()_+\\-=\\[\\]{};':\"\\\\|,.<>?/]");

    public ValidationResult validate(String pwd) {
        List errors = new ArrayList<>();
        if (pwd == null || pwd.length() < 8) errors.add("长度至少8位");
        if (!HAS_UPPER.matcher(pwd).find()) errors.add("需含大写字母");
        if (!HAS_LOWER.matcher(pwd).find()) errors.add("需含小写字母");
        if (!HAS_DIGIT.matcher(pwd).find()) errors.add("需含数字");
        if (!HAS_SPECIAL.matcher(pwd).find()) errors.add("需含特殊字符");
        return new ValidationResult(errors.isEmpty(), errors);
    }
}

关键点在于：所有正则必须预编译成 static final，避免每次调用都新建 Pattern；错误信息要可翻译，别写死中文；返回值用 ValidationResult 而不是布尔，方便前端展示具体哪条不满足。

真正容易被忽略的是——校验必须在密码哈希之前做，否则用户输错十次后，你才发现他连基本格式都不满足，白白浪费计算资源。