security - 在 Spring Security 3.1 中，StandardPasswordEncoder 最适合用于加盐密码的用途是什么？

Question

我想将密码加盐添加到我正在处理的站点，并且我发现 Spring Security 3.1 有一些新功能可以使这变得非常容易。

我有一个关于 StandardPasswordEncoder 类的问题。它的运作方式与我的预期略有不同。使用起来似乎比自己编写盐渍更简单，但我认为有一些我不明白的“魔法”。

StandardPasswordEncoder 似乎为我随机加盐，这很好。但是在将原始密码与编码密码相匹配时……它如何在不知道原始盐是什么的情况下匹配密码？

据我所知，一旦你做了一个盐，你就不能回去......所以如果有一个随机盐来首先生成编码的哈希...... StandardPasswordEncoder 稍后如何能够匹配密码观点？我很迷惑。我不应该获取盐，将盐保存在数据库中，然后提供盐吗？如果没有我存储和提供盐值，它如何能够做到这一点？

感谢您消除困惑。我希望我的问题是有道理的。

Answer 1

它存储与盐连接的散列密码，参见 StandardPasswordEncoder.java ，所以它在检查密码时知道盐。