如何用equalsIgnoreCase验证登录名

本文深入解析了在用户登录校验中正确使用 `String.equalsIgnoreCase()` 的关键实践与常见陷阱：它比 `toLowerCase().equals()` 更安全可靠，因其严格遵循 Unicode 标准进行大小写折叠，不依赖易变的系统 locale，能稳定处理德语 ß、土耳其语 İ 等特殊字符；但仅适用于用户名、邮箱等标识符的比对，绝不可用于密码（必须严格区分大小写），且必须前置判空防 NPE；同时强调不能依赖数据库层大小写转换（避免索引失效），而应在应用层结合 Unicode 正规化（如 NFC）、输入清洗（去除零宽字符、全角ASCII等）和合理边界处理，构建真正健壮、安全、可维护的登录认证逻辑。

String.equalsIgnoreCase 为什么比 toLowerCase().equals() 更安全

直接用 equalsIgnoreCase 比先转小写再比较更可靠，尤其在涉及非 ASCII 字符（比如德语 ß、土耳其语 İ）时。JVM 默认 locale 下，"ß".toLowerCase() 可能变成 "ss"，导致 "SS".toLowerCase().equals("ß".toLowerCase()) 返回 false，但 "SS".equalsIgnoreCase("ß") 仍为 false —— 这反而是对的，因为它们本就不等价；重点是它不依赖 locale 变量，行为稳定。

用户登录校验中，若用 username.toLowerCase().equals(input.toLowerCase())，一旦部署环境 locale 改成 tr_TR，"I".toLowerCase() 会变成 "ı"（无点 i），而 "i".toUpperCase() 变成 "İ"（带点 I），大小写转换不再可逆，校验就可能意外失败。

• 始终优先用 equalsIgnoreCase，它内部走 Unicode 标准大小写折叠（case-insensitive matching），不依赖当前线程 locale
• 不要自己做 toLowerCase(Locale.ROOT) 再比较 —— 冗余且易漏，equalsIgnoreCase 已内置等效逻辑
• 数据库查出来的用户名字段，如果本身存的就是原始大小写（如 "Admin"），直接和用户输入比即可，无需预处理

登录校验中怎么正确调用 equalsIgnoreCase

关键不是“能不能用”，而是“跟谁比、什么时候比”。常见错误是把密码也用 equalsIgnoreCase —— 密码必须严格区分大小写，这是安全底线。

只对用户名/邮箱这类**标识符字段**使用 equalsIgnoreCase，且必须在比对前确认两边都不是 null：

String dbUsername = resultSet.getString("username"); // 可能为 null
String inputUsername = request.getParameter("username"); // 可能为 null
if (dbUsername != null && inputUsername != null && dbUsername.equalsIgnoreCase(inputUsername)) {
// 用户名匹配，继续查密码
}

• 数据库字段为 NULL 时，rs.getString() 返回 null，直接调 equalsIgnoreCase 会 NPE
• 前端传参为空字符串 "" 而非 null，也要单独判断（空用户名无意义，应拒绝）
• 不要在 SQL 层用 UPPER(username) = UPPER(?) 做忽略大小写查询 —— 索引失效，性能差；应在应用层比对

equalsIgnoreCase 在 Spring Security 或 MyBatis 中怎么嵌入

Spring Security 默认的 UserDetailsService 不自动做忽略大小写，它把用户名原样传给 loadUserByUsername 方法，你需要在里面手动处理比对逻辑。

MyBatis 查询时，别在 XML 里写 WHERE LOWER(username) = LOWER(#{username})，而应该查出所有候选用户（比如按首字母或长度范围缩小），再在 Java 层用 equalsIgnoreCase 筛选：

WHERE LOWER(username) = LOWER(#{username})

WHERE username LIKE #{usernameFirstChar} AND LENGTH(username) = #{usernameLength}

• MyBatis 的 @SelectProvider 或