spring - 在 Spring Security 中，如何在密码比较期间正确生成随机盐？

Question

我正在使用 Spring 安全 3.1.1.RELEASE。我正在使用 StandardPasswordEncoder.encode(password) 函数来加密我的用户密码，它依赖于生成的随机盐。从 Spring 安全源，最终这个方法从“org.springframework.security.crypto.keygen.SecureRandomBytesKeyGenerator”被调用以生成盐......

public byte[] generateKey() {
    byte[] bytes = new byte[keyLength];
    random.nextBytes(bytes);
    return bytes;
}

我的问题是，当从登录页面输入密码时，如何生成用于编码密码比较的相同盐？上面似乎是随机的，所以我认为在比较完成时会创建一个新的随机盐。

Answer 1

不。如果您为加盐散列密码配置了 Spring Security，那么在比较时，会调用用户数据查找。一旦通过用户名找到用户记录，然后从密码字段中提取盐，并用于从页面计算密码的哈希值。然后比较哈希值。