问密码管理

EN

我有一个关于密码管理的问题。假设我有一个程序，用户输入了密码，数据被加密存储。

一种方法是:用用户的密码加密数据。优点:用户将负责密码的安全性以及如何保护您的数据。缺点:如果用户更改了密码，则必须解密和加密所有数据。

否则:使用用户以外的密码加密数据(随机)。以及用于加密随机口令的用户口令。优点:如果用户更改了密码，则不必重新加密所有内容。

至于保存用户的密码，我使用to jasypt.org。这样可以吗？什么才是正确的做法呢？我认为弱点在于加密器Jasypt。数据使用加密的AES-128。使用Jasypt，因为这是我所知道的全部。