【SpringSecurity】解答SpringBoot中密码加密的正确⽅式？
Spring Boot 项⽬中密码如何加密
先说⼀句：密码是采⽤⾮对称加密是⽆法解密的。密码⽆法解密，还是为了确保系统安全。今天就来和⼤家聊⼀聊，密码要如何处理，才能在最⼤程度上确保我们的系统安全。密码加密我们⼀般会⽤到散列函数，⼜称散列算法、哈希函数，这是⼀种从任何数据中创建数字“指纹”的⽅法。
散列函数把消息或数据压缩成摘要，使得数据量变⼩，将数据的格式固定下来，然后将数据打乱混合，重新创建⼀个散列值。散列值通常⽤⼀个短的随机字母和数字组成的字符串来代表。好的散列函数在输⼊域中很少出现散列冲突。在散列表和数据处理中，不抑制冲突来区别数据，会使得数据库记录更难到。
我们常⽤的散列函数有 MD5 消息摘要算法、安全散列算法（Secure Hash Algorithm）。但是仅仅使⽤散列函数还不够，单纯的只使⽤散列函数，如果两个⽤户密码明⽂相同，⽣成的密⽂也会相同，这样就增加的密码泄漏的风险。为了增加密码的安全性，⼀般在密码加密过程中还需要加盐，所谓的盐可以是⼀个随机数也可以是⽤户名，加盐之后，即使密码明⽂相同的⽤户⽣成的密码密⽂也不相同，这可以极⼤的提⾼密码的安全性。
传统的加盐⽅式需要在数据库中有专门的字段来记录盐值，这个字段可能是⽤户名字段（因为⽤户名唯⼀），也可能是⼀个专门记录盐值的字段，这样的配置⽐较繁琐。
Spring Security 提供了多种密码加密⽅案，官⽅推荐使⽤ BCryptPasswordEncoder，BCryptPasswordEncoder 使⽤ BCrypt 强哈希函数，开发者在使⽤时可以选择提供 strength 和 SecureRandom 实例。strength 越⼤，密钥的迭代次数越多，密钥迭代次数为
2^strength。strength 取值在 4~31 之间，默认为 10。
不同于 Shiro 中需要⾃⼰处理密码加盐，在 Spring Security 中，BCryptPasswordEncoder 就⾃带了盐，处理起来⾮常⽅便。
代码实践
commons-codec 加密
commons-codec 是⼀个 Apache 上的开源项⽬，⽤它可以⽅便的实现密码加密。在 Spring Security 还未推出BCryptPasswordEncoder 的时候，commons-codec 还是⼀个⽐较常见的解决⽅案。所以，这⾥我先来给⼤家介绍下 commons-codec 的⽤法。
⾸先我们需要引⼊ commons-codec 的依赖：
<dependency>
<groupId>commons-codec</groupId>
<artifactId>commons-codec</artifactId>
<version>1.11</version>
</dependency>
然后⾃定义⼀个 PasswordEncoder：
@Component
public class MyPasswordEncoder implements PasswordEncoder {
@Override
public String encode(CharSequence rawPassword){
return DigestUtils.String().getBytes());
}
@Override
public boolean matches(CharSequence rawPassword, String encodedPassword){
return encodedPassword.equals(DigestUtils.String().getBytes()));
}
}
在 Spring Security 中，PasswordEncoder 专门⽤来处理密码的加密与⽐对⼯作，我们⾃定义 MyPasswordEncoder 并实现PasswordEncoder 接⼝，还需要实现该接⼝中的两个⽅法：
1. encode ⽅法表⽰对密码进⾏加密，参数 rawPassword 就是你传⼊的明⽂密码，返回的则是加密之后的密⽂，这⾥的加密⽅案采⽤
了 MD5。
2. matches ⽅法表⽰对密码进⾏⽐对，参数 rawPassword 相当于是⽤户登录时传⼊的密码，encoded
Password 则相当于是加密后
的密码（从数据库中查询⽽来）。
最后记得将 MyPasswordEncoder 通过 @Component 注解标记为 Spring 容器中的⼀个组件。
这样⽤户在登录时，就会⾃动调⽤ matches ⽅法进⾏密码⽐对。当然，使⽤了 MyPasswordEncoder 之后，在⽤户注册时，就需要将密码加密之后存⼊数据库中，⽅式如下：
public int reg(User user){
...
//插⼊⽤户，插⼊之前先对密码进⾏加密
user.Password()));
result = (user);
...
}
其实很简单，就是调⽤ encode ⽅法对密码进⾏加密。
BCryptPasswordEncoder 加密
但是⾃⼰定义 PasswordEncoder 还是有些⿇烦，特别是处理密码加盐问题的时候。所以在 Spring Security 中提供了BCryptPasswordEncoder，使得密码加密加盐变得⾮常容易。只需要提供 BCryptPasswordEncoder 这个 Bean 的实例即可，代码如下：
@Bean
PasswordEncoder passwordEncoder(){
return new BCryptPasswordEncoder(10);
}
创建 BCryptPasswordEncoder 时传⼊的参数 10 就是 strength，即密钥的迭代次数（也可以不配置，默认为 10）。
⽤户信息是存储在数据库中的，因此需要在⽤户注册时对密码进⾏加密处理，如下：
@Service
public class RegService {
public int reg(String username, String password){
BCryptPasswordEncoder encoder =new BCryptPasswordEncoder(10);
String encodePasswod = de(password);
return saveToDb(username, encodePasswod);
}
}
⽤户将密码从前端传来之后，通过调⽤ BCryptPasswordEncoder 实例中的 encode ⽅法对密码进⾏加密处理，加密完成后将密⽂存⼊数据库。我这⾥为了演⽰⽅便，在单元测试中修改我之前项⽬中的密码；代码如下：
package org.wavefar.securityconfig;
import org.junit.jupiter.api.Test;
import org.springframework.beans.factory.annotation.Autowired;
import org.st.context.SpringBootTest;
import org.pto.bcrypt.BCryptPasswordEncoder;
import org.wavefar.securityconfig.dao.UserDao;
import org.ity.Role;
import org.ity.User;
import java.io.UnsupportedEncodingException;
java加密方式有哪些import java.util.ArrayList;
import java.util.Base64;
import java.util.List;
@SpringBootTest
class SecurityConfigApplicationTests {
@Autowired
UserDao userDao;
@Test
void contextLoads()throws UnsupportedEncodingException {
User u1 =new User();
BCryptPasswordEncoder bCryptPasswordEncoder =new BCryptPasswordEncoder();
//如果是修改内容需增加ID
u1.setId(1L);
u1.setUsername("summer");
u1.de("123"));
u1.setAccountNonExpired(true);
u1.setAccountNonLocked(true);
u1.setCredentialsNonExpired(true);
u1.setEnabled(true);
List<Role> rs1 =new ArrayList<>();
Role r1 =new Role();
//如果是修改需增加ID
r1.setId(1l);
r1.setName("ROLE_admin");
r1.setNameZh("管理员");
rs1.add(r1);
u1.setRoles(rs1);
userDao.save(u1);
User u2 =new User();
//如果是修改需增加ID
u2.setId(2L);
u2.setUsername("wavefar");
u2.de("123"));
u2.setAccountNonExpired(true);
u2.setAccountNonLocked(true);
u2.setCredentialsNonExpired(true);
u2.setEnabled(true);
List<Role> rs2 =new ArrayList<>();
Role r2 =new Role();
//如果是修改需增加ID
r2.setId(2l);
r2.setName("ROLE_user");
r2.setNameZh("普通⽤户");
rs2.add(r2);
u2.setRoles(rs2);
userDao.save(u2);
}
}
执⾏单元测试后，我们查看数据库密码已经显⽰加密状态了。
select * from t_user;
+----+---------------------+--------------------+-------------------------+---------+
|id| password                                                        | username |
+----+---------------------+--------------------+-------------------------+---------+
|  1 |$2a$10$AzvIsb217cesGzXWklzfOe7Q8QU9vIrPgG/sYgAv75FT8fMn5FQla  | summer    |
|  2 |$2a$10$ywbAGWFEXWCEt6.9tl7TgOCEzyA4exmh3qy3S1PXk0UG9539wIC6m | wavefar  |
+----+---------------------+--------------------+-------------------------+---------+
源码浅析
最后我们再来稍微看⼀下 PasswordEncoder。PasswordEncoder 是⼀个接⼝，⾥边只有三个⽅法：
public interface PasswordEncoder {
String encode(CharSequence rawPassword);
boolean matches(CharSequence rawPassword, String encodedPassword);
default boolean upgradeEncoding(String encodedPassword){
return false;
}
}
encode ⽅法⽤来对密码进⾏加密。
matches ⽅法⽤来对密码进⾏⽐对。
upgradeEncoding 表⽰是否需要对密码进⾏再次加密以使得密码更加安全，默认为 false。
Spring Security 为 PasswordEncoder 提供了很多实现：
但是⽼实说，⾃从有了 BCryptPasswordEncoder，我们很少关注其他实现类了。PasswordEncoder 中的 encode ⽅法，是我们在⽤户注册的时候⼿动调⽤。
matches ⽅法，则是由系统调⽤，默认是在 DaoAuthenticationProvider#additionalAuthenticationChecks ⽅法中调⽤的。
protected void additionalAuthenticationChecks(UserDetails userDetails,
UsernamePasswordAuthenticationToken authentication)
throws AuthenticationException {
Credentials()== null){
logger.debug("Authentication failed: no credentials provided");
throw new Message(
"AbstractUserDetailsAuthenticationProvider.badCredentials",
"Bad credentials"));
}
String presentedPassword = Credentials().toString();
if(!passwordEncoder.matches(presentedPassword, Password())){
logger.debug("Authentication failed: password does not match stored value");
throw new Message(
"AbstractUserDetailsAuthenticationProvider.badCredentials",
"Bad credentials"));
}
}
可以看到，密码⽐对就是通过 passwordEncoder.matches ⽅法来进⾏的。

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。