Just a Note：StandardPasswordEncoder 解析

StandardPasswordEncoder 是 Spring Security 提供的 class，僅有兩個 method：encode 和 matches，分別用來對密碼進行編碼及驗證。

StandardPasswordEncoder(CharSequence secret)
String encode(CharSequence rawPassword)
boolean matches(CharSequence rawPassword,String encodedPassword)

編碼的演算法基本上為 Hash，但並非單純的 Hash，其因子有三：

1. Secret：透過 Constructor 傳入，用來和 Raw Password 一起進行 Hash 的資料，通常為有意義的唯一值，例如帳號，以避免不同帳號、相同密碼產生出一模一樣的 Hash 值。

2. Raw Password：密碼明碼。

3. Salt：為一亂數，用來強化密碼編碼。

編碼的基本流程：
0. 使用者註冊時，輸入帳號、密碼。
1. 根據帳號 (Secret) new 出一個 StandardPasswordEncoder 物件。
2. 呼叫 encode，傳入密碼 (Raw Password)。
　(1) 產生 n byte 的 Salt。StandardPasswordEncoder 中會產生 8 bytes 的亂數。同一系統中，Salt 的長度需相同，除非連長度都當作產生 Hash 的因子保存下來。

　(2) 將 (1) 產生的 Salt、1. 傳入的 Secret、2. 傳入的 Raw Password 組合起來一起進行 Hash 運算，產生 Hash。StandardPasswordEncoder 採用 SHA-256 演算法，並針對資料進行 1024 次 Hash 運算。

　(3) 取得 Salt+ Hash (Encoded Password)，存入資料庫。

步驟 2. (1) 加入了未知長度、且每次隨機產生的 Salt，即使使用相同帳號 (Secret)、相同密碼 (Raw Password)，每次編碼出來的結果也不會相同；

步驟 2. (2) 進行了多次 Hash 演算，最後的結果就不會是以單純的 ASCII 字元產生出的 Hash，而是值域更廣 binary data，可以增加暴力破解的難度。

驗證的基本流程：
0. 使用者登入時，輸入帳號、密碼。

1. 根據帳號 (Secret) new 出一個 StandardPasswordEncoder 物件。

2. 呼叫 matches，傳入密碼 (Raw Password) 和從資料庫取得的 Encoded Password。

　(1) 從 Encoded Password 中取出 Salt 和 Hash。

　(2) 將 (1) 取得的 Salt、1. 傳入的 Secret、2. 傳入的 Raw Password 組合起來一起進行 Hash 運算，產生 Hash'。

　(3) 比對 (2) 產生的 Hash' 和 (1) 取得的 Hash 是否相等。相等則代表密碼驗證成功。

原則上透過 StandardPasswordEncoder 的 encode 出來的結果已經很難透過暴力破解取得使用者密碼了，不過也可以再進一步調整部分編碼的參數，例如：

1. Salt 的長度。

2. Hash 時 Salt、Secret、Raw Password 排列組合。

3. Hash 的演算法和次數。

4. Salt、Hash 的排列組合。

只要在 encode 和 matches 中使用相同的因子，便可以自訂出獨有的密碼編碼機制來強化密碼的保護。

如此一來，即便有內部人員可以直接存取資料庫，也無法取得使用者的密碼。