BCrypt

«结论先行：「BCrypt cost=10 就够安全」是一个流传很广的误解。cost 只是"算多慢"的旋钮，它不决定"抗破解能力"，而真正决定抗破解能力的是哈希函数的内存成本（memory cost）——这正是 BCrypt 天生缺、Arg

一、现象：报错文案统一了，用户还是被枚举光了 去年给一家做 B 端 SaaS 的客户做安全加固复盘，目标是登录接口 "POST /api/v1/auth/login"，Spring Boot 3.2 + Spring Security 6.