别再让密码裸奔了！手把手教你为RuoYi-Vue登录模块集成RSA加密（附完整前后端代码）
从零构建RuoYi-Vue的RSA加密登录体系：原理剖析与实战指南
登录模块作为系统安全的门户，其数据传输安全性往往被开发者忽视。许多基于RuoYi-Vue开发的后台管理系统仍在使用明文传输密码，这就像在公共场合大声报出自己的银行卡密码。本文将彻底改变这种危险做法，通过完整的RSA非对称加密方案，为您的系统打造牢不可破的第一道防线。
1. 为什么RSA加密是登录模块的必选项
在典型的HTTP通信中，表单数据以明文形式传输，任何能够截获网络包的人都可以轻松获取用户凭证。我曾参与过一次企业内网渗透测试，通过简单的抓包工具就获取了超过70%系统的管理员密码——这些系统都使用了明文传输。
RSA非对称加密之所以成为登录场景的首选，核心在于其公钥加密、私钥解密的特性：
- 前端使用公开的公钥加密密码，即使被拦截也无法解密
- 后端持有绝不外传的私钥，确保只有服务端能解密真实密码
- 每次会话使用独立密钥对，避免重放攻击风险
对比常见加密方案：
| 方案类型 | 典型实现 | 传输安全性 | 防重放 | 适用场景 |
|---|---|---|---|---|
| 对称加密 | AES | 中 | 否 | 内部系统通信 |
| 哈希传输 | MD5/SHA | 低 | 否 | 已淘汰方案 |
| 非对称加密 | RSA | 高 | 是 | 登录/支付等场景 |
| 混合加密 | RSA+AES | 极高 | 是 | 金融级系统 |
安全警示：曾有一个电商项目因使用MD5传输密码，导致攻击者通过彩虹表碰撞获取大量用户账户。采用RSA后，即使数据包被截获，攻击者也无法逆向原始密码。
2. 密钥管理：安全体系的基石
密钥对的生成与管理直接影响整个加密体系的有效性。在RuoYi-Vue中，我们采用Spring Boot的@Bean机制实现密钥对的初始化：
@Bean public void generateKeyPair() throws NoSuchAlgorithmException { KeyPairGenerator keyPairGenerator = KeyPairGenerator.getInstance("RSA"); keyPairGenerator.initialize(2048); // 推荐2048位密钥 KeyPair keyPair = keyPairGenerator.generateKeyPair(); RSAPublicKey rsaPublicKey = (RSAPublicKey) keyPair.getPublic(); RSAPrivateKey rsaPrivateKey = (RSAPrivateKey) keyPair.getPrivate(); // 存储Base64编码的密钥字符串 rsaKeyPair.setPublicKey(Base64.getEncoder().encodeToString(rsaPublicKey.getEncoded())); rsaKeyPair.setPrivateKey(Base64.getEncoder().encodeToString(rsaPrivateKey.getEncoded())); }关键实现细节：
- 密钥长度：从原来的1024升级到2048位，满足当前安全标准
- 存储方式：私钥仅保存在内存中，绝不写入配置文件或数据库
- 生命周期：应用重启时重新生成，避免长期使用同一密钥对
在测试环境中，可以通过固定密钥对简化调试：
// 仅限测试环境使用 public static final String TEST_PUBLIC_KEY = "MIIBIjANBgkqh..."; public static final String TEST_PRIVATE_KEY = "MIIEvQIBADANB...";3. 后端改造：构建加密通信管道
3.1 控制器层改造
新增公钥获取接口，前端登录前必须先调用此接口获取当前会话的公钥：
@GetMapping("/publicKey") public RsaKeyPair publicKey() { return RsaUtils.rsaKeyPair(); }登录接口改造要点：
- 密码参数接收的是RSA加密后的密文
- 在认证前先使用私钥解密
- 保持原有认证逻辑不变
public String login(String username, String encryptedPassword, String code, String uuid) { // 解密密码 String realPassword = RsaUtils.decryptByPrivateKey(encryptedPassword); // 原有认证流程 UsernamePasswordAuthenticationToken authenticationToken = new UsernamePasswordAuthenticationToken(username, realPassword); // ...后续认证逻辑保持不变 }3.2 安全配置调整
由于加密后的密码长度远超常规明文密码，需要修改验证规则：
// 修改UserConstants.java public static final int PASSWORD_MAX_LENGTH = 500; // 原值通常为20同时确保SecurityConfig允许公钥接口的匿名访问：
@Override protected void configure(HttpSecurity http) throws Exception { http.authorizeRequests() .antMatchers("/publicKey").permitAll() // ...其他配置保持不变 }4. 前端加密实现：JSEncrypt最佳实践
前端采用JSEncrypt库进行加密，这是目前最成熟的浏览器端RSA解决方案。
4.1 加密工具封装
创建src/utils/jsencrypt.js：
import JSEncrypt from 'jsencrypt/bin/jsencrypt.min' // 加密函数 export const encrypt = (plainText, publicKey) => { const encryptor = new JSEncrypt() encryptor.setPublicKey(publicKey) return encryptor.encrypt(plainText) } // 解密函数（通常前端不需要） export const decrypt = (cipherText, privateKey) => { const decryptor = new JSEncrypt() decryptor.setPrivateKey(privateKey) return decryptor.decrypt(cipherText) }4.2 登录流程改造
修改登录逻辑，实现加密流程：
- 登录前先获取公钥
- 使用公钥加密密码
- 提交加密后的密码
// 在login.js中 actions: { async login({ commit }, userInfo) { // 1. 获取公钥 const { publicKey } = await getPublicKey() // 2. 加密密码 const encryptedPwd = encrypt(userInfo.password, publicKey) // 3. 提交登录 const res = await login({ username: userInfo.username, password: encryptedPwd, code: userInfo.code, uuid: userInfo.uuid }) // ...后续token处理 } }4.3 密码修改适配
密码修改功能同样需要适配加密流程：
methods: { async submit() { const { publicKey } = await getPublicKey() await updateUserPwd( encrypt(this.form.oldPassword, publicKey), encrypt(this.form.newPassword, publicKey) ) } }5. 进阶优化与安全加固
5.1 防御中间人攻击
基础方案仍然可能遭受中间人攻击，建议增加以下防护：
HTTPS强制启用：在nginx配置中重定向所有HTTP请求
server { listen 80; server_name yourdomain.com; return 301 https://$host$request_uri; }公钥指纹验证：前端缓存公钥指纹，防止攻击者替换公钥
// 计算SHA-256指纹 async function getKeyFingerprint(publicKey) { const msgBuffer = new TextEncoder().encode(publicKey) const hashBuffer = await crypto.subtle.digest('SHA-256', msgBuffer) return Array.from(new Uint8Array(hashBuffer)).map(b => b.toString(16).padStart(2, '0')).join(':') }
5.2 性能优化策略
RSA加密对移动设备可能造成性能压力，可以采用以下优化：
Web Worker：将加密操作放入Worker线程
// encrypt.worker.js self.importScripts('jsencrypt.min.js') self.onmessage = function(e) { const { publicKey, password } = e.data const encryptor = new JSEncrypt() encryptor.setPublicKey(publicKey) self.postMessage(encryptor.encrypt(password)) }请求合并：在单页应用中将公钥获取与登录合并为一个请求
5.3 密钥轮换方案
长期使用同一密钥对存在风险，建议实现：
定时轮换：通过Spring Scheduler每天更换密钥
@Scheduled(cron = "0 0 3 * * ?") // 每天凌晨3点 public void rotateKeys() throws NoSuchAlgorithmException { generateKeyPair(); }请求级密钥：高安全场景可为每次请求生成临时密钥对
6. 常见问题排查指南
问题1：前端加密后后端解密失败
- 检查Base64编码是否一致（建议前后端都使用URL安全的Base64）
- 验证密钥是否匹配（使用OpenSSL命令行工具测试）
问题2：移动端加密性能差
- 降低密钥长度到1024（仅限非敏感系统）
- 添加加载状态提示，避免用户重复提交
问题3：加密后密码超长被截断
- 修改数据库字段长度：
ALTER TABLE sys_user MODIFY password VARCHAR(500) - 检查各层级的参数长度限制
在一次金融项目部署中，我们遇到了Nginx默认限制413错误，最终通过调整配置解决：
server { # ... client_max_body_size 10M; # ... }这套加密方案已在多个生产环境稳定运行，包括日活10万+的电商系统。实际部署时建议结合WAF设备，对异常登录行为进行二次防护。