MD5的Java Bean实现

许方

编者的话：

虽然 MD5 签名算法在 jdk 中早已实现（如 MessageDigest 类），但作者从 MD5 的原理分析讲述 MD5 具体算法的 Java 实现并给出一个完整的示例程序，我想这对我们的读者来说还是会有很多帮助的。

内容：

MD5简介

MD5的全称是Message-Digest Algorithm 5，在90年代初由MIT的计算机科学实验室和RSA Data Security Inc发明，经MD2、MD3和MD4发展而来。

Message-Digest泛指字节串(Message)的Hash变换，就是把一个任意长度的字节串变换成一定长的大整数。请注意我使用了“字节串”而不是“字符串”这个词，是因为这种变换只与字节的值有关，与字符集或编码方式无关。

MD5将任意长度的“字节串”变换成一个128bit的大整数，并且它是一个不可逆的字符串变换算法，换句话说就是，即使你看到源程序和算法描述，也无法将一个MD5的值变换回原始的字符串，从数学原理上说，是因为原始的字符串有无穷多个，这有点象不存在反函数的数学函数。

MD5的典型应用是对一段Message(字节串)产生fingerprint(指纹)，以防止被“篡改”。举个例子，你将一段话写在一个叫readme.txt文件中，并对这个readme.txt产生一个MD5的值并记录在案，然后你可以传播这个文件给别人，别人如果修改了文件中的任何内容，你对这个文件重新计算MD5时就会发现。如果再有一个第三方的认证机构，用MD5还可以防止文件作者的“抵赖”，这就是所谓的数字签名应用。

MD5还广泛用于加密和解密技术上，在很多操作系统中，用户的密码是以MD5值（或类似的其它算法）的方式保存的，用户Login的时候，系统是把用户输入的密码计算成MD5值，然后再去和系统中保存的MD5值进行比较，而系统并不“知道”用户的密码是什么。

一些黑客破获这种密码的方法是一种被称为“跑字典”的方法。有两种方法得到字典，一种是日常搜集的用做密码的字符串表，另一种是用排列组合方法生成的，先用MD5程序计算出这些字典项的MD5值，然后再用目标的MD5值在这个字典中检索。

即使假设密码的最大长度为8，同时密码只能是字母和数字，共26+26+10=62个字符，排列组合出的字典的项数则是P(62,1)+P(62,2)….+P(62,8)，那也已经是一个很天文的数字了，存储这个字典就需要TB级的磁盘组，而且这种方法还有一个前提，就是能获得目标账户的密码MD5值的情况下才可以。

在很多电子商务和社区应用中，管理用户的Account是一种最常用的基本功能，尽管很多Application Server提供了这些基本组件，但很多应用开发者为了管理的更大的灵活性还是喜欢采用关系数据库来管理用户，懒惰的做法是用户的密码往往使用明文或简单的变换后直接保存在数据库中，因此这些用户的密码对软件开发者或系统管理员来说可以说毫无保密可言，本文的目的是介绍MD5的Java Bean的实现，同时给出用MD5来处理用户的Account密码的例子，这种方法使得管理员和程序设计者都无法看到用户的密码，尽管他们可以初始化它们。但重要的一点是对于用户密码设置习惯的保护。

有兴趣的读者可以从这里取得MD5也就是RFC 1321的文本。http://www.ietf.org/rfc/rfc1321.txt

实现策略

MD5的算法在RFC1321中实际上已经提供了C的实现，我们其实马上就能想到，至少有两种用Java实现它的方法，第一种是，用Java语言重新写整个算法，或者再说简单点就是把C程序改写成Java程序。第二种是，用JNI(Java Native Interface)来实现，核心算法仍然用这个C程序，用Java类给它包个壳。

但我个人认为，JNI应该是Java为了解决某类问题时的没有办法的办法（比如与操作系统或I/O设备密切相关的应用），同时为了提供和其它语言的互操作性的一个手段。使用JNI带来的最大问题是引入了平台的依赖性，打破了SUN所鼓吹的“一次编写到处运行”的Java好处。因此，我决定采取第一种方法，一来和大家一起尝试一下“一次编写到处运行”的好处，二来检验一下Java 2现在对于比较密集的计算的效率问题。

实现过程

限于这篇文章的篇幅，同时也为了更多的读者能够真正专注于问题本身，我不想就某一种Java集成开发环境来介绍这个Java Bean的制作过程，介绍一个方法时我发现步骤和命令很清晰，我相信有任何一种Java集成环境三天以上经验的读者都会知道如何把这些代码在集成环境中编译和运行。用集成环境讲述问题往往需要配很多屏幕截图，这也是我一直对集成环境很头疼的原因。我使用了一个普通的文本编辑器，同时使用了Sun公司标准的JDK 1.3.0 for Windows NT。

其实把C转换成Java对于一个有一定C语言基础的程序员并不困难，这两个语言的基本语法几乎完全一致．我大概花了一个小时的时间完成了代码的转换工作，我主要作了下面几件事：

把必须使用的一些#define的宏定义变成Class中的final static，这样保证在一个进程空间中的多个Instance共享这些数据

删去了一些无用的#if define，因为我只关心MD5，这个推荐的C实现同时实现了MD2 MD3和 MD4，而且有些#if define还和C不同编译器有关

将一些计算宏转换成final static 成员函数。

所有的变量命名与原来C实现中保持一致，在大小写上作一些符合Java习惯的变化，计算过程中的C函数变成了private方法(成员函数)。

关键变量的位长调整

定义了类和方法

需要注意的是，很多早期的C编译器的int类型是16 bit的，MD5使用了unsigned long int，并认为它是32bit的无符号整数。而在Java中int是32 bit的，long是64 bit的。在MD5的C实现中，使用了大量的位操作。这里需要指出的一点是，尽管Java提供了位操作，由于Java没有unsigned类型，对于右移位操作多提供了一个无符号右移：>>>，等价于C中的 >> 对于unsigned 数的处理。

因为Java不提供无符号数的运算，两个大int数相加就会溢出得到一个负数或异常，因此我将一些关键变量在Java中改成了long类型(64bit)。我个人认为这比自己去重新定义一组无符号数的类同时重载那些运算符要方便，同时效率高很多并且代码也易读，OO(Object Oriented)的滥用反而会导致效率低下。

限于篇幅，这里不再给出原始的C代码，有兴趣对照的读者朋友可以去看RFC 1321。MD5.java源代码

测试

在RFC 1321中，给出了Test suite用来检验你的实现是否正确：MD5 ("") = d41d8cd98f00b204e9800998ecf8427e

MD5 ("a") = 0cc175b9c0f1b6a831c399e269772661

MD5 ("abc") = 900150983cd24fb0d6963f7d28e17f72

MD5 ("message digest") = f96b697d7cb7938d525a2f31aaf161d0

MD5 ("abcdefghijklmnopqrstuvwxyz") = c3fcd3d76192e4007dfb496cca67e13b

……

这些输出结果的含义是指：空字符串””的MD5值是d41d8cd98f00b204e9800998ecf8427e，字符串”a”的MD5值是0cc175b9c0f1b6a831c399e269772661……

编译并运行我们的程序：

javac –d . MD5.java

java beartool.MD5

为了将来不与别人的同名程序冲突，我在我的程序的第一行使用了package beartool;

因此编译命令javac –d . MD5.java 命令在我们的工作目录下自动建立了一个beartool目录，目录下放着编译成功的 MD5.class

我们将得到和Test suite同样的结果。当然还可以继续测试你感兴趣的其它MD5变换，例如：

java beartool.MD51234

将给出1234的MD5值。

可能是我的计算机知识是从Apple II和Z80单板机开始的，我对大写十六进制代码有偏好，如果您想使用小写的Digest String只需要把byteHEX函数中的A、B、C、D、E、F改成a、b、 c、d、e、f就可以了。

MD5据称是一种比较耗时的计算，我们的Java版MD5一闪就算出来了，没遇到什么障碍，而且用肉眼感觉不出来Java版的MD5比C版的慢。

为了测试它的兼容性，我把这个MD5.class文件拷贝到我的另一台Linux+IBM JDK 1.3的机器上，执行后得到同样结果，确实是“一次编写到处运行了”。

Java Bean简述

现在，我们已经完成并简单测试了这个Java Class，我们文章的标题是做一个Java Bean。

其实普通的Java Bean很简单，并不是什么全新的或伟大的概念，就是一个Java的Class，尽管 Sun规定了一些需要实现的方法，但并不是强制的。而EJB(Enterprise Java Bean)无非规定了一些必须实现（非常类似于响应事件）的方法，这些方法是供EJB Container使用(调用)的。

在一个Java Application或Applet里使用这个bean非常简单，最简单的方法是你要使用这个类的源码工作目录下建一个beartool目录，把这个class文件拷贝进去，然后在你的程序中import beartool.MD5就可以了。最后打包成.jar或.war是保持这个相对的目录关系就行了。

Java还有一个小小的好处是你并不需要摘除我们的MD5类中那个main方法，它已经是一个可以工作的Java Bean了。Java有一个非常大的优点是她允许很方便地让多种运行形式在同一组代码中共存，比如，你可以写一个类，它即是一个控制台Application和GUI Application，同时又是一个Applet，同时还是一个Java Bean，这对于测试、维护和发布程序提供了极大的方便，这里的测试方法main还可以放到一个内部类中，有兴趣的读者可以参考：http://www.cn.ibm.com/developerWorks/java/jw-tips/tip106/index.shtml

这里讲述了把测试和示例代码放在一个内部静态类的好处，是一种不错的工程化技巧和途径。

把Java Bean装到JSP里

正如我们在本文开头讲述的那样，我们对这个MD5 Bean的应用是基于一个用户管理，这里我们假设了一个虚拟社区的用户login过程，用户的信息保存在数据库的个名为users的表中。这个表有两个字段和我们的这个例子有关，userid :char(20)和pwdmd5 :char(32)，userid是这个表的Primary Key，pwdmd5保存密码的MD5串，MD5值是一个128bit的大整数，表示成16进制的ASCII需要32个字符。

这里给出两个文件，login.html是用来接受用户输入的form，login.jsp用来模拟使用MD5 Bean的login过程。

为了使我们的测试环境简单起见，我们在JSP中使用了JDK内置的JDBC-ODBC Bridge Driver，community是ODBC的DSN的名字，如果你使用其它的JDBC Driver，替换掉login.jsp中的

Connection con= DriverManager.getConnection("jdbc:odbc:community", "", "");

即可。

login.jsp的工作原理很简单，通过post接收用户输入的UserID和Password，然后将Password变换成MD5串，然后在users表中寻找UserID和pwdmd5，因为UserID是users表的Primary Key，如果变换后的pwdmd5与表中的记录不符，那么SQL查询会得到一个空的结果集。

这里需要简单介绍的是，使用这个Bean只需要在你的JSP应用程序的WEB-INF/classes下建立一个beartool目录，然后将MD5.class拷贝到那个目录下就可以了。如果你使用一些集成开发环境，请参考它们的deploy工具的说明。在JSP使用一个java Bean关键的一句声明是程序中的第2行：

<jsp:useBean id='oMD5' scope='request' class='beartool.MD5'/>

这是所有JSP规范要求JSP容器开发者必须提供的标准Tag。

id=实际上是指示JSP Container创建Bean的实例时用的实例变量名。在后面的<%和%>之间的Java程序中，你可以引用它。在程序中可以看到，通过pwdmd5=oMD5.getMD5ofStr (password)引用了我们的MD5 Java Bean提供的唯一一个公共方法: getMD5ofStr。

Java Application Server执行.JSP的过程是先把它预编译成.java（那些Tag在预编译时会成为java语句），然后再编译成.class。这些都是系统自动完成和维护的，那个.class也称为Servlet。当然，如果你愿意，你也可以帮助Java Application Server去干本该它干的事情，自己直接去写Servlet，但用Servlet去输出HTML那简直是回到了用C写CGI程序的恶梦时代。

如果你的输出是一个复杂的表格，比较方便的方法我想还是用一个你所熟悉的HTML编辑器编写一个“模板”，然后在把JSP代码“嵌入”进去。尽管这种JSP代码被有些专家指责为“空心粉”，它的确有个缺点是代码比较难管理和重复使用，但是程序设计永远需要的就是这样的权衡。我个人认为，对于中、小型项目，比较理想的结构是把数据表示（或不严格地称作WEB界面相关）的部分用JSP写，和界面不相关的放在Bean里面，一般情况下是不需要直接写Servlet的。

如果你觉得这种方法不是非常的OO(Object Oriented)，你可以继承（extends）它一把，再写一个bean把用户管理的功能包进去。

到底能不能兼容？

我测试了三种Java应用服务器环境，Resin 1.2.3、Sun J2EE 1.2、IBM WebSphere 3.5，所幸的是这个Java Bean都没有任何问题，原因其实是因为它仅仅是个计算程序，不涉及操作系统，I/O设备。其实用其它语言也能简单地实现它的兼容性的，Java的唯一优点是，你只需提供一个形态的运行码就可以了。请注意“形态”二字，现在很多计算结构和操作系统除了语言本身之外都定义了大量的代码形态，很简单的一段C语言核心代码，转换成不同形态要考虑很多问题，使用很多工具，同时受很多限制，有时候学习一种新的“形态”所花费的精力可能比解决问题本身还多。比如光Windows就有EXE、Service、的普通DLL、COM DLL以前还有OCX等等等等，在Unix上虽说要简单一些，但要也要提供一个.h定义一大堆宏，还要考虑不同平台编译器版本的位长度问题。我想这是Java对我来说的一个非常重要的魅力吧。

参考资料

IETF RFC 1321 http:// http://www.ietf.org/rfc/rfc1321.txt

这是关于MD5最原始和权威的文档，同时包含了完整的C语言实现。这份文档是1992年提交的，它的C程序还不是ANSI标准语法的，有些老Unix的亲切感。在Windows下编译这个C程序要小小改动一下。

J2EE教程 http://java.sun.com/j2ee/tutorial/doc/information/resources.html

SUN的J2EE教程编得很不错，言简意赅，为全面了解Java Bean和JSP背后的体系结构提供了一个不错的起点或索引。

Bruce Eckel《Think in Java 2nd Edition》

这也是Developer Works推荐下载的一本不错的Java教科书，我个人认为这本书是写给至少有一种程序设计语言经验的程序员的。