爆破专栏丨Spring Security系列教程之SpringSecurity中的密码加密

• 对密码进行明文处理，即不采用任何加密方式；

• 采用MD5加密方式；

• 采用哈希算法加密方式。

    @Autowired
    private PasswordEncoder passwordEncoder;

 /**
     * 添加用户.这里我们采用表单形式传参,传参形式如下:
     * http://localhost:8080/user/register?username=test&password=123
     */
    @GetMapping("/register")
    public User registerUser(@RequestParam(required = false) User user){
        user.setEnable(true);
        user.setRoles("ROLE_ADMIN");

        //对密码进行加密
        user.setPassword(passwordEncoder.encode(user.getPassword()));

        userMapper.addUser(user);

        return user;
    }
复制

@EnableWebSecurity(debug = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/admin/**")
                .hasRole("ADMIN")
                //放行register接口
                .antMatchers("/user/register")
                .permitAll()
                .antMatchers("/user/**")
                .hasRole("USER")
                .antMatchers("/app/**")
                .permitAll()
                .anyRequest()
                .authenticated()
                .and()
                .formLogin()
                .permitAll()
                .and()
                //对跨域请求伪造进行防护---->csrf:利用用户带有登录状态的cookie进行攻击的手段
                .csrf()
                .disable();
    }

    //配置采用哪种密码加密算法
    @Bean
    public PasswordEncoder passwordEncoder() {
        //不使用密码加密
        //return NoOpPasswordEncoder.getInstance();

        //使用默认的BCryptPasswordEncoder加密方案
        return new BCryptPasswordEncoder();

        //strength=10，即密钥的迭代次数(strength取值在4~31之间，默认为10)
        //return new BCryptPasswordEncoder(10);

        //利用工厂类PasswordEncoderFactories实现,工厂类内部采用的是委派密码编码方案.
        //return PasswordEncoderFactories.createDelegatingPasswordEncoder();
    }

}
复制

@Bean
public MessageDigestPasswordEncoder messageDigestPasswordEncoder(){
    
    return new MessageDigestPasswordEncoder("MD5");
}
复制

{EUjIxnT/OVlk5J54s3LaJRuQgwTchm1gduFHTqI0qjo=}4b40375c57c285cc56c7048bb114db23
复制

 public static PasswordEncoder createDelegatingPasswordEncoder() {
  String encodingId = "bcrypt";
  Map<String, PasswordEncoder> encoders = new HashMap<>();
  encoders.put(encodingId, new BCryptPasswordEncoder());
  encoders.put("ldap", new org.springframework.security.crypto.password.LdapShaPasswordEncoder());
  encoders.put("MD4", new org.springframework.security.crypto.password.Md4PasswordEncoder());
  encoders.put("MD5", new org.springframework.security.crypto.password.MessageDigestPasswordEncoder("MD5"));
  encoders.put("noop", org.springframework.security.crypto.password.NoOpPasswordEncoder.getInstance());
  encoders.put("pbkdf2", new Pbkdf2PasswordEncoder());
  encoders.put("scrypt", new SCryptPasswordEncoder());
  encoders.put("SHA-1", new org.springframework.security.crypto.password.MessageDigestPasswordEncoder("SHA-1"));
  encoders.put("SHA-256", new org.springframework.security.crypto.password.MessageDigestPasswordEncoder("SHA-256"));
  encoders.put("sha256", new org.springframework.security.crypto.password.StandardPasswordEncoder());
  encoders.put("argon2", new Argon2PasswordEncoder());

  return new DelegatingPasswordEncoder(encodingId, encoders);
 }
复制

public interface PasswordEncoder {

 /**
  * Encode the raw password. Generally, a good encoding algorithm applies a SHA-1 or
  * greater hash combined with an 8-byte or greater randomly generated salt.
  */
 String encode(CharSequence rawPassword);

 /**
  * Verify the encoded password obtained from storage matches the submitted raw
  * password after it too is encoded. Returns true if the passwords match, false if
  * they do not. The stored password itself is never decoded.
  *
  * @param rawPassword the raw password to encode and match
  * @param encodedPassword the encoded password from storage to compare with
  * @return true if the raw password, after encoding, matches the encoded password from
  * storage
  */
 boolean matches(CharSequence rawPassword, String encodedPassword);

 /**
  * Returns true if the encoded password should be encoded again for better security,
  * else false. The default implementation always returns false.
  * @param encodedPassword the encoded password to check
  * @return true if the encoded password should be encoded again for better security,
  * else false.
  */
 default boolean upgradeEncoding(String encodedPassword) {
  return false;
 }
}
复制

• encode()方法，用于对密码进行加密，参数 rawPassword 表示我们传入的密码明文，返回值是加密之后的密文；

• matches()方法，表示对密码进行比对，参数 rawPassword 代表用户登录时传入的密码，encodedPassword 则代表加密后的密码(一般从数据库中查询而来);

• upgradeEncoding()方法，则用于判断是否需要对密码进行再次加密，以使得密码更加安全, 默认不需要。

• BCrypt Password Encoder：Spring Security 默认使用的加密方案，使用BCrypt强哈希方法来加密；

• Message Digest Password Encoder：用作传统的加密方式加密(支持 MD5、SHA-1、SHA-256...)；

• Delegating Password Encoder：最常用，推荐使用该方案，根据加密类型id进行不同方式的加密，兼容性强；

• NoOpPasswordEncoder：明文，不做加密处理；

• 其他子类。

    protected void additionalAuthenticationChecks(UserDetails userDetails,
   UsernamePasswordAuthenticationToken authentication)
   throws AuthenticationException {
  if (authentication.getCredentials() == null) {
   logger.debug("Authentication failed: no credentials provided");

   throw new BadCredentialsException(messages.getMessage(
     "AbstractUserDetailsAuthenticationProvider.badCredentials",
     "Bad credentials"));
  }

  String presentedPassword = authentication.getCredentials().toString();

  if (!passwordEncoder.matches(presentedPassword, userDetails.getPassword())) {
   logger.debug("Authentication failed: password does not match stored value");

   throw new BadCredentialsException(messages.getMessage(
     "AbstractUserDetailsAuthenticationProvider.badCredentials",
     "Bad credentials"));
  }
 }
复制

@Bean
public PasswordEncoder passwordEncoder() {

    //利用工厂类PasswordEncoderFactories实现,工厂类内部采用的是委派密码编码方案!
    //推荐使用该方案,因为后期可以实现多密码加密方案共存效果!
    return PasswordEncoderFactories.createDelegatingPasswordEncoder();
}
复制

@RestController@RequestMapping("/user")public class UserController {    @Autowired    private PasswordEncoder passwordEncoder;    @Autowired    private UserMapper userMapper;    @GetMapping("hello")    public String hello() {        return "hello, user";    }    /**     * 采用默认的PasswordEncoder，即BCryptPasswordEncoder来加密。     *     * 添加用户.这里我们采用表单形式传参,传参形式如下:     * http://localhost:8080/user/register?username=test&password=123     */    @GetMapping("/register")    public User registerUser(@RequestParam(required = false) User user) {        user.setEnable(true);        user.setRoles("ROLE_ADMIN");        //对密码进行加密        user.setPassword(passwordEncoder.encode(user.getPassword()));        userMapper.addUser(user);        return user;    }    /**     * 利用MD5加密密码     */    @GetMapping("/registerMd5")    public User registerUserWithMd5(@RequestParam(required = false, name = "username") String username, @RequestParam(required = false, name = "password") String password) {        User user = new User();        user.setUsername(username);        user.setEnable(true);        user.setRoles("ROLE_ADMIN");        Map<String, PasswordEncoder> encoders = new HashMap<>(16);        //encoders.put("bcrypt", new BCryptPasswordEncoder());        //encoders.put("noop", org.springframework.security.crypto.password.NoOpPasswordEncoder.getInstance());        encoders.put("MD5", new org.springframework.security.crypto.password.MessageDigestPasswordEncoder("MD5"));        DelegatingPasswordEncoder md5Encoder = new DelegatingPasswordEncoder("MD5", encoders);        //对密码进行加密        user.setPassword(md5Encoder.encode(password));        userMapper.addUser(user);        return user;    }    /**     * 不进行密码加密     */    @GetMapping("/registerNoop")    public User registerUserWithNoop(@RequestParam(required = false, name = "username") String username, @RequestParam(required = false, name = "password") String password) {        User user = new User();        user.setUsername(username);        user.setEnable(true);        user.setRoles("ROLE_ADMIN");        Map<String, PasswordEncoder> encoders = new HashMap<>(16);        //encoders.put("bcrypt", new BCryptPasswordEncoder());        //encoders.put("MD5", new org.springframework.security.crypto.password.MessageDigestPasswordEncoder("MD5"));        encoders.put("noop", NoOpPasswordEncoder.getInstance());        DelegatingPasswordEncoder noopEncoder = new DelegatingPasswordEncoder("noop", encoders);        //对密码进行加密        user.setPassword(noopEncoder.encode(password));        userMapper.addUser(user);        return user;    }}
复制

    @Override    protected void configure(HttpSecurity http) throws Exception {        http.authorizeRequests()                .antMatchers("/admin/**")                .hasRole("ADMIN")                //放行register接口                .antMatchers("/user/register")                .permitAll()                .antMatchers("/user/registerMd5")                .permitAll()                .antMatchers("/user/registerNoop")                .permitAll()                .antMatchers("/user/**")                .hasRole("USER")                .antMatchers("/app/**")                .permitAll()                .anyRequest()                .authenticated()                .and()                .formLogin()                .permitAll()                .and()                //对跨域请求伪造进行防护---->csrf:利用用户带有登录状态的cookie进行攻击的手段                .csrf()                .disable();    }
复制

@BeanPasswordEncoder passwordEncoder() {        return new BCryptPasswordEncoder();}
复制

 protected void additionalAuthenticationChecks(UserDetails userDetails,   UsernamePasswordAuthenticationToken authentication)   throws AuthenticationException {  if (authentication.getCredentials() == null) {   logger.debug("Authentication failed: no credentials provided");   throw new BadCredentialsException(messages.getMessage(     "AbstractUserDetailsAuthenticationProvider.badCredentials",     "Bad credentials"));  }  String presentedPassword = authentication.getCredentials().toString();  if (!passwordEncoder.matches(presentedPassword, userDetails.getPassword())) {   logger.debug("Authentication failed: password does not match stored value");   throw new BadCredentialsException(messages.getMessage(     "AbstractUserDetailsAuthenticationProvider.badCredentials",     "Bad credentials"));  } }
复制

public class DaoAuthenticationProvider extends AbstractUserDetailsAuthenticationProvider { // ~ Static fields/initializers // ===================================================================================== /**  * The plaintext password used to perform  * PasswordEncoder#matches(CharSequence, String)}  on when the user is  * not found to avoid SEC-2056.  */ private static final String USER_NOT_FOUND_PASSWORD = "userNotFoundPassword"; // ~ Instance fields // ================================================================================================ private PasswordEncoder passwordEncoder; /**  * The password used to perform  * {@link PasswordEncoder#matches(CharSequence, String)} on when the user is  * not found to avoid SEC-2056. This is necessary, because some  * {@link PasswordEncoder} implementations will short circuit if the password is not  * in a valid format.  */ private volatile String userNotFoundEncodedPassword; private UserDetailsService userDetailsService; private UserDetailsPasswordService userDetailsPasswordService; public DaoAuthenticationProvider() {  setPasswordEncoder(PasswordEncoderFactories.createDelegatingPasswordEncoder()); }        ......}
复制

   class InitializeUserDetailsManagerConfigurer   extends GlobalAuthenticationConfigurerAdapter {         @Override  public void configure(AuthenticationManagerBuilder auth) throws Exception {   if (auth.isConfigured()) {    return;   }   UserDetailsService userDetailsService = getBeanOrNull(     UserDetailsService.class);   if (userDetailsService == null) {    return;   }            //获取默认的PasswordEncoder对象   PasswordEncoder passwordEncoder = getBeanOrNull(PasswordEncoder.class);   UserDetailsPasswordService passwordManager = getBeanOrNull(UserDetailsPasswordService.class);   DaoAuthenticationProvider provider = new DaoAuthenticationProvider();   provider.setUserDetailsService(userDetailsService);                        //设置PasswordEncoder   if (passwordEncoder != null) {    provider.setPasswordEncoder(passwordEncoder);   }               if (passwordManager != null) {    provider.setUserDetailsPasswordService(passwordManager);   }               provider.afterPropertiesSet();   auth.authenticationProvider(provider);  }  /**   * @return a bean of the requested class if there's just a single registered component, null otherwise.   */  private <T> T getBeanOrNull(Class<T> type) {   String[] userDetailsBeanNames = InitializeUserDetailsBeanManagerConfigurer.this.context     .getBeanNamesForType(type);   if (userDetailsBeanNames.length != 1) {    return null;   }   return InitializeUserDetailsBeanManagerConfigurer.this.context     .getBean(userDetailsBeanNames[0], type);  } }
复制

• SpringSecurity会首先去调用getBeanOrNull 方法，获取一个 Password Encoder 实例，get Bean Or Null 方法实际上就是去 Spring 容器中根据类型来查找对象。

• 接下来直接 new 一个 Dao Authen tication Provider 对象，大家知道，在 new 的过程中，Dao Authen tication Provider 中默认的 Pass word Encoder 已经被创建出来了。

• 如果一开始就从 Spring 容器中获取到了 Password Encoder 实例，则将之赋值给 Dao Authen tication Provider 实例，否则就是用 Dao Authen tication Provider 自己默认创建的 Password Encoder。