Xuân An muối cho UserDetails tùy chỉnh

Question

Tôi muốn thêm muối như:

PasswordEncoder encoder = new ShaPasswordEncoder(); 
     userDetails.setPassword(encoder.encodePassword(userDetails.getPassword(),saltSource.getSalt(userDetails)); 

như xa userDetails được thể hiện của lớp tùy chỉnh UserDetail của tôi, tôi buộc phải bỏ nó vào lớp mùa xuân này: UserDetails , nhưng như nó một cách logic mong đợi tôi đã nhận trong Runtime:

java.lang.ClassCastException: model.UserDetails cannot be cast to org.springframework.security.core.userdetails.UserDetails 

config:

<beans:bean id="saultSource" class="org.springframework.security.authentication.dao.ReflectionSaltSource"> 
     <beans:property name="userPropertyToUse" value="username"/> 
</beans:bean> 

<authentication-manager alias="authenticationManager"> 
<authentication-provider> 
<password-encoder hash="sha"> 
    <salt-source user-property="username"/> 
</password-encoder> 
    <jdbc-user-service data-source-ref="dataSource"/> 
</authentication-provider> 
</authentication-manager> 

Làm cách nào để định cấu hình chính xác muối trong trường hợp này?

Answer 1

ReflectionSaltSource chỉ làm việc với một đối tượng UserDetails (Tôi giả định đó là nơi bạn có được ngoại lệ đẳng cấp đúc?), Do đó bạn sẽ phải hoặc là thực hiện UserDetails hoặc tạo SaltSource thực hiện của riêng bạn mà làm việc với đối tượng của bạn.

Tuy nhiên, tôi sẽ không sử dụng thuộc tính của người dùng làm muối trừ khi bạn đang làm việc với hệ thống cũ đã thực hiện điều này. Tên người dùng không phải là một giá trị muối rất tốt. Tốt hơn là sử dụng một loại muối ngẫu nhiên được lưu trữ bằng mật khẩu. Một ví dụ điển hình là thuật toán BCrypt. Xem câu trả lời của tôi cho this question để biết ví dụ về cách sử dụng nó với Spring Security 3.1. Như đã giải thích ở đó, BCrypt tự động tạo ra một muối ngẫu nhiên mà nó lưu trữ trong cùng một chuỗi với mật khẩu băm.

Lưu ý rằng thực tế có giao diện PasswordEncoder mới trong gói "mật mã" 3.1 của Spring Security (trong org.springframework.security.crypto.password). Điều này không bao gồm một muối trong API methods, vì nó giả định muối được tạo ra trong nội bộ (vì nó là với việc thực hiện BCrypt). Khung thường sẽ chấp nhận một trong các khung này hoặc di sản org.springframework.security.authentication.encoding.PasswordEncoder.

Answer 2

lớp model.UserDetails của bạn phải thực hiện các giao diệnorg.springframework.security.core.userdetails.UserDetails- nó không cần phải là một lớp org.springframework.security.core.userdetails.User.

Bạn cũng có thể xem this answer để xem cách thiết lập ReflectionSaltSource cho cả mã hóa và giải mã mật khẩu hoặc giúp bạn có được bức tranh lớn hơn để theo mẹo tuyệt vời của Luke trên BCryptPasswordEncoder.

Answer 3

Tôi đã viết một bài đăng blog về một số chi tiết sau đây: http://rtimothy.tumblr.com/post/26527448708/spring-3-1-security-and-salting-passwords Luke viết mã để chắc chắn anh ấy biết những gì anh ấy nói, nhưng tôi thấy một số người hy vọng rằng điều đó sẽ giúp ích cho bạn.