Jenkins訪問控制分為：安全域（即認證）與授權策略。

其中，安全域可以采用三種形式，分別為：Jenkins專有用戶數據庫、LDAP、Servlet容器代理。

Jenkins專有用戶的數據信息存放位置： <JENKINS_HOME> /users/

每個用戶的相關信息存放在config.xml文件中： <JENKINS_HOME>/users/ <user>/config.xml

在config.xml文件中 passwordHash節點可以看到用戶名加密后的密文哈希值

那么，它是用何種加密方式加密的呢？可否解密密文得到明文呢？

在 github上查看其源碼，通過關鍵字 #jbcrypt搜索定位到 HudsonPrivateSecurityRealm.java這個文件

HudsonPrivateSecurityRealm.java詳細路徑是：jenkins/core/src/main/java/hudson/security/HudsonPrivateSecurityRealm.java

通過分析該源碼得知：

1、密文的格式為：salt: encPass，其中以#jbcrypt表示salt作為數據頭

2、明文通過jbcrypt算法得到密文 encPass

關于jbcrypt：

jbcrypt是bcrypt加密工具的java實現。

它的API非常簡單，DEMO如下，在HudsonPrivateSecurityRealm.java中可以看到加密和校驗時使用了如下API：

// Hash a password for the first time   
String hashed = BCrypt.hashpw(password, BCrypt.gensalt());   
 
// gensalt's log_rounds parameter determines the complexity the work factor is 2**log_rounds, and the default is 10   
String hashed = BCrypt.hashpw(password, BCrypt.gensalt(12));   
 
// Check that an unencrypted password matches one that has previously been hashed   
if (BCrypt.checkpw(candidate, hashed))   
System.out.println("It matches");   
else   
System.out.println("It does not match");   

經驗證，用jbcrypt對同一個明文加密后因為salt一般不同，加密后的密文一般不同

關于bcrypt：

1、bcrypt是不可逆的加密算法，無法通過解密密文得到明文。

2、bcrypt和其他對稱或非對稱加密方式不同的是，不是直接解密得到明文，也不是二次加密比較密文，而是把明文和存儲的密文一塊運算得到另一個密文，如果這兩個密文相同則驗證成功。

綜上，Jenkins專有用戶數據庫使用了jbcrypt加密，jbcrypt加密是不可逆的，而且對于同一個明文的加密結果一般不同。

本文出自：http://my.oschina.net/donhui/blog/379925