java - 没有以纯文本形式存储密码的 Hibernate 身份验证

Question

我的目标是以安全的方式使用 JDBC/Hibernate 对数据库进行身份验证，而不是以纯文本形式存储密码。代码示例表示赞赏。我已经在使用 waffle 对用户进行身份验证，所以如果有某种方法可以使用 waffle 从用户那里获得的凭据，并将这些凭据转发给数据库，那就太好了。

两个问题:

1. 使用 tomcat/hibernate/spring 在 web 服务器、sql 数据库和显然是客户端浏览器上进行多跳身份验证(客户端、web 服务器和数据库都是不同的机器)的推荐方法是什么？
2. 我还会选择一种使用单个用户帐户进行身份验证的方法，只要该用户帐户的信息没有以纯文本形式存储在任何地方。用户帐户将需要对数据库的读/写权限。

我找到了一些有关连接到 SQL Server 的有用信息 in this thread .但是，我希望 Tomcat 将在默认帐户下运行，例如本地系统或其他帐户。据我所知，该帐户不能用于对数据库进行 Windows 身份验证。

我的解决方案:

我确实最终使用了上述线程中提到的方法。 Tomcat 服务不再作为本地系统运行，而是作为用户运行。该用户有权访问数据库。我的hibernate配置文件配置如下:

    <property name="hibernate.connection.url">
jdbc:sqlserver://system:port;databaseName=myDb;integratedSecurity=true;
</property>

致那些提供回复的人

感谢大家的帮助，我将尝试线程中提到的一些技术。我对某些响应的问题是它们需要需要 key 的对称加密。将 key 保密几乎与以明文形式存储密码完全相同。

Answer 1

我最近blogged about this :

您可以告诉 tomcat 的 jdbcrealm 对密码使用摘要算法，例如 sha-256并保存哈希而不是明文密码。

假设您的用户实体如下所示:

@Entity
@Table(name = "cr_users")
public class UserDetails{
    @Id
    @GeneratedValue
    private long id;
    private String name;
    private String passwordHash;
    @ManyToMany
    private Set<Group> groups;
}

通过服务创建新用户时，可以使用 MessageDigest 创建密码哈希:

public UserDetails createNewUser(String username,String passwd,Set<Group> groups){
       UserDetails u=new UserDetails();
       u.setname(username);
       u.setGroups(groups);
       u.setPassword(createHash(passwd));
       return u;
}
public String createHash(String data){
        MessageDigest digest = MessageDigest.getInstance("SHA-256");
        digest.update(password.getBytes());
        byte byteData[] = digest.digest();
        //convert bytes to hex chars
        StringBuffer sb = new StringBuffer();
        for (int i = 0; i < byteData.length; i++) {
         sb.append(Integer.toString((byteData[i] & 0xff) + 0x100, 16).substring(1));
        }
        return sb.toString();
}

由于 SHA-256 总是会为相同的输入产生相同的散列值，您可以告诉 tomcat 的 JDBCRealm 使用此算法来验证密码。

<Realm className="org.apache.catalina.realm.JDBCRealm"
       driverName="org.postgresql.Driver"
       connectionURL="jdbc:postgresql://localhost:5432/mydb"
       connectionName="myuser" connectionPassword="mypass"
       userTable="tc_realm_users" userNameCol="username" userCredCol="passwordhash" 
       userRoleTable="tc_realm_groups" roleNameCol="groupname"
       digest="sha-256"/>

问题是 tomcat 会期望 usertable 有这样一种不同的格式:

+----------------------+  +-------------------+
|   tc_realm_users     |  | tc_realm_groups   |
+----------------------+  +-------------------+
| username     varchar |  | username  varchar |
| passwordhash varchar |  | groupname varchar |
+----------------------+  +-------------------+

如果您的用户数据模型适合您，那么您很幸运，但我的 Hibernate 生成的表看起来像这样:

+----------------------+  +-------------------+  +--------------------+
|     cr_users         |  |      cr_groups    |  | cr_users_cr_groups |
+----------------------+  +-------------------+  +--------------------+
| id              long |  | id           long |  | cr_users_id   long |
| name         varchar |  | name      varchar |  | groups_id     long |
| passwordhash varchar |  +-------------------+  +--------------------+
+----------------------+

所以我创建了一个 View使用具有预期格式的 SQL 并从我的 webapps 用户数据中提取数据:

create view tc_realm_groups as
select 
  cr_users.name as username,
  groups.name as groupname
from cr_users 
left join (
        select 
                cr_users_cr_groups.cr_users_id,cr_groups.name 
        from cr_groups 
        left join 
                cr_users_cr_groups 
                on cr_users_cr_groups.groups_id=cr_groups.id
) as groups on groups.cr_users_id=id;

create view tc_realm_users as
select 
  name as username
from cr_users;

有了那个 tomcat 就能够对我现有的用户数据进行身份验证/授权，并将数据写入上下文中，这样我就可以在我的 Jersey (JSR-311) 中使用它了。资源:

public Response getEvent(@Context SecurityContext sc,@PathParam("id") long id) {
                log.debug("auth: " + sc.getAuthenticationScheme());
                log.debug("user: " + sc.getUserPrincipal().getName()); // the username!
                log.debug("admin-privileges: " + sc.isUserInRole("webapp-admin"));
                return Response.ok(“auth success”).build();
        }

还有一些其他的 Realm 实现:

• JDBC领域
• 数据源领域
• JNDI领域
• 用户数据库领域
• 内存领域
• JAAS 领域
• 联合领域
• LockOutRealm

一些链接:

• http://tomcat.apache.org/tomcat-6.0-doc/realm-howto.html
• http://www.ericonjava.com/?p=325
• http://objecthunter.congrace.de/tinybo/blog/articles/89