[译] 学习 Spring Security(六):密码编码

栏目: Java · 发布时间: 6年前

内容简介:[译] 学习 Spring Security(六):密码编码

本文将讨论注册流程中的一个关键部分 — 密码编码 (以非明文方式存储密码)。

Spring Security 支持一部分编码机制 — 本文将使用 BCrypt 编码方式,因为它通常被作为最佳的解决方案。

大多数其他机制,如 MD5PasswordEncoderShaPasswordEncoder 使用了较弱算法的编码方式,现在已被弃用了。

2、定义密码编码器

我们首先在配置中将 BCryptPasswordEncoder 定义为一个 bean:

@Bean
public PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}

一些旧的实现方式,比如 SHAPasswordEncoder ,会要求客户端在编码密码时传入一个 salt 值(又称盐值)。

然而 BCrypt 方式不同,它会在内部产生一个随机盐值。这很重要,因为这意味着每次调用都会有不同的结果,因此我们只需要对密码进行一次编码。

另外请注意, BCrypt 算法会生成一个长度为 60 的字符串,因此我们需要确保存储密码的列有足够的空间。一个常见的错误是创建一个长度不足的列,然后在验证时得到一个无效的用户名或密码错误。

3、在注册时编码密码

在用户注册流程中,我们使用 UserService 中的 PasswordEncoder 对密码进行散列处理:

示例 3.1 — UserService 对密码散列处理

@Autowired
private PasswordEncoder passwordEncoder;
 
@Override
public User registerNewUserAccount(UserDto accountDto) throws EmailExistsException {
    if (emailExist(accountDto.getEmail())) {
        throw new EmailExistsException(
          "There is an account with that email adress:" + accountDto.getEmail());
    }
    User user = new User();
    user.setFirstName(accountDto.getFirstName());
    user.setLastName(accountDto.getLastName());
     
    user.setPassword(passwordEncoder.encode(accountDto.getPassword()));
     
    user.setEmail(accountDto.getEmail());
    user.setRole(new Role(Integer.valueOf(1), user));
    return repository.save(user);
}

4、在认证时编码密码

现在让我们来处理这个流程的另一半,在用户认证时对密码进行编码。

首先,我们需要将之前定义的密码编码器 bean 注入到身份验证提供器中:

@Autowired
private UserDetailsService userDetailsService;
 
@Bean
public DaoAuthenticationProvider authProvider() {
    DaoAuthenticationProvider authProvider = new DaoAuthenticationProvider();
    authProvider.setUserDetailsService(userDetailsService);
    authProvider.setPasswordEncoder(encoder());
    return authProvider;
}

security 配置很简单:

  • 注入 UserDetailsService 实现类
  • 定义一个认证提供器,引用了 UserDetailsService
  • 启用了密码编码器

最后,我们需要在 security XML 配置中引用这个认证提供器:

<authentication-manager>
    <authentication-provider ref="authProvider" />
</authentication-manager>

或者,您也可以使用 Java 配置:

@Configuration
@ComponentScan(basePackages = { "org.baeldung.security" })
@EnableWebSecurity
public class SecSecurityConfig extends WebSecurityConfigurerAdapter {
 
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.authenticationProvider(authProvider());
    }
     
    ...
}

5、结论

本教程继上一篇的注册流程,通过利用简单却非常强大的 BCrypt 实现展示了如何正确地存储密码到数据库中。

该注册流程在 Spring Security 教程中已经完全实现,您可以在 GitHub 项目中找到 — 这是一个 Eclipse 项目,应该很容易导入和运行。


以上所述就是小编给大家介绍的《[译] 学习 Spring Security(六):密码编码》,希望对大家有所帮助,如果大家有任何疑问请给我留言,小编会及时回复大家的。在此也非常感谢大家对 码农网 的支持!

查看所有标签

猜你喜欢:

本站部分资源来源于网络,本站转载出于传递更多信息之目的,版权归原作者或者来源机构所有,如转载稿涉及版权问题,请联系我们

用户体验要素

用户体验要素

Jesse James Garrett / 范晓燕 / 机械工业出版社 / 2011-7-1 / 39.00元

《用户体验要素:以用户为中心的产品设计(原书第2版)》是AJAX之父Jesse James Garrett的经典之作。本书用简洁的语言系统化地诠释了设计、技术和商业融合是最重要的发展趋势。全书共8章,包括关于用户体验以及为什么它如此重要、认识这些要素、战略层、范围层、结构层、框架层、表现层以及要素的应用。 《用户体验要素:以用户为中心的产品设计(原书第2版)》用清晰的说明和生动的图形分析了以......一起来看看 《用户体验要素》 这本书的介绍吧!

JSON 在线解析
JSON 在线解析

在线 JSON 格式化工具

HEX HSV 转换工具
HEX HSV 转换工具

HEX HSV 互换工具