Java - Spring - 基本身份验证 - 如何对 application.properties 中定义的密码进行哈希处理

Question

我正在为 Spring Boot 应用程序实现基本身份验证，并在 application.properties 类中定义我的凭据，但我想对密码进行哈希编码，然后检查哈希是否与 application.properties 中密码的哈希相同然后我就可以登录了。如果可以在配置方法中完成所有逻辑，那就太好了。

application.properties:

基本身份验证

user.name=test
user.password={noop}example

SecurityConfig 类:

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    private static final Logger logger = LoggerFactory.getLogger(SecurityConfig.class);

    private AuthenticationProvider authenticationProvider;

    @Override
    protected void configure(HttpSecurity http) throws Exception {

        http.csrf().disable().authorizeRequests().anyRequest().authenticated().and().httpBasic()
                .and().sessionManagement().and().authenticationProvider(authenticationProvider)
                .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
    }

更新代码

import org.slf4j.Logger;
import org.slf4j.LoggerFactory;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.config.http.SessionCreationPolicy;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    private static final Logger logger = LoggerFactory.getLogger(SecurityConfig.class);

    @Value("${security.user.password}")
    private String password;
    @Value("${security.user.name}")
    private String username;

    @Override
    protected void configure(HttpSecurity http) throws Exception {

        http.csrf().disable().authorizeRequests().anyRequest().authenticated()
                .and().logout().and().httpBasic().and().sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);


    }

    @Override
    public void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication().
                passwordEncoder(passwordEncoder()).withUser(username).password(password);
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Bean
    public String generateHashedPassword(String password) {
        return BCrypt.hashpw(password, BCrypt.gensalt(10));
    }
}

更新2

目前它的工作方式是当我启动应用程序时，我访问 localhost:8080 然后出现登录弹出窗口，然后我输入用户名和密码(在 application.properties 中定义)

如果我输入正确的用户名和密码，我就会登录，但如果我设法使用 application.properties 中定义的用户名和密码登录，那么对密码进行哈希处理有什么意义呢？我想更像是拥有一个散列 key 列表，并将输入密码与列表进行比较，如果成功则登录。

Answer 1

由于您想在属性文件中定义您的凭据，我想您可以利用内存中身份验证。请尝试以下操作:

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    private static final Logger logger = LoggerFactory.getLogger(SecurityConfig.class);

    private AuthenticationProvider authenticationProvider;

    @Value("${user.name}") 
    private String userName;

    @Value("${user.password}") 
    private String userHashedPassword; // hashed password

    @Override
    protected void configure(HttpSecurity http) throws Exception {

    http.csrf().disable().authorizeRequests().anyRequest().authenticated().and().httpBasic()
            .and().sessionManagement().and().authenticationProvider(authenticationProvider)
            .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
    }

    @Override
    public void configure(AuthenticationManagerBuilder auth) throws Exception
    {
        auth
           .inMemoryAuthentication()
           .passwordEncoder(passwordEncoder())
           .withUser(userName)
           .password(userHashedPassword);
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

请注意，在这种情况下，您的密码应该首先使用 BCryptPasswordEncoder 进行加密，然后您应该将其放入属性文件中(您可以使用其 encoder.encode("password ") 方法)。或者，如果需要，您可以使用 PasswordEncoder 的任何其他实现。我还注意到您正在使用一些自定义的autenticationProvider。由于您没有共享代码，所以不确定它是如何工作的，并且不确定它是否会与内存中的身份验证配合使用。但是，无论如何，我认为值得一试，这是在您的场景中采取的正确方法。希望对您有所帮助。