grails - 更改使用 spring security 验证旧密码的密码表单

Question

我使用 grails 进行 Web 开发，使用 spring security 进行身份验证和授权。

我想做一个简单的表单来允许用户更改他们的密码。这是一个包含三个密码字段的表单。第一个应该是当前(旧)密码。第二个和第三个用于新密码验证，以防止意外输入错误。

问题是我无法找到根据当前密码验证旧密码的正确方法。我考虑过使用 springSecurityService.encodePassword 函数并比较哈希来手动执行此操作。但我不确定这是否是正确的做法。

只有已经登录的用户才能访问此表单。如果攻击者以某种方式获取了 session (例如用户忘记注销)，询问密码应该可以阻止攻击者更改密码

是否有 spring 安全方法可以做到这一点？

Answer 1

有 an example在使用 passwordEnconder 的 Spring Security Core 文档中，但是 springSecurityService.encodePassword 也很好。