java - 更改当前用户的密码时需要验证什么？

Question

我正在开发一个 spring-mvc 项目，该项目使用 spring-security 进行身份验证。我还使用加密对密码进行编码并存储在数据库中。

现在我正在尝试更改密码功能。通常我们有旧密码和新密码。

所以我有一个问题。

1. 用户登录后才能更改密码。那么是否需要再次验证旧密码？

2. 如果我们必须验证如何在 Spring 中使用旧密码进行编码？

我正在使用 BCryptPasswordEncoder 对密码进行编码。

Answer 1

matches方法BCryptPasswordEncoder对此很有用:

if (passwordEncoder.matches(changePasswordForm.getOldPassword(),
                                user.getPassword())) {
    // ok
} else {
    // wrong old password
}