java - 如何使用 Spring "matches"方法检查旧密码？

Question

@Autowired
private PasswordEncoder passwordEncoder;

@Autowired
private OldPasswordsService oldPasswordsService;

Optional<OldPasswords> list = oldPasswordsService.findEncryptedPassword(passwordEncoder.encode("new password entered form web reset form"));
            OldPasswords value = list.get();
            boolean matches = passwordEncoder.matches("new password entered form web reset form", value.getEncryptedPassword());

            if (matches)
            {
                return new ResponseEntity<>("PASSWORD_ALREADY_USED", HttpStatus.BAD_REQUEST);
            }
            else
            {
                OldPasswords oldPasswords = new OldPasswords();
                oldPasswords.setEncryptedPassword(passwordEncoder.encode(resetDTO.getPassword()));
                oldPasswordsService.save(oldPasswords);
            }

旧密码表:

@Table(name = "old_passwords")
public class OldPasswords implements Serializable {

    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    @Column(name = "id", unique = true, updatable = false, nullable = false)
    private int id;

    @Column(name = "encrypted_password", length = 255)
    private String encryptedPassword;

    @Column(name = "password_owner_id", length = 4)
    private Integer passwordOwnerId;

    @Column(name = "created_at")
    @Convert(converter = LocalDateTimeConverter.class)
    private LocalDateTime createdAt;

但我得到 java.util.NoSuchElementException: No value present。您知道我如何实现比较旧密码和新密码的逻辑吗？

编辑:我试过这个设计:

SQL查询:

public List<OldPasswords> findByOwnerId(Integer ownerId) {
        String hql = "select e from " + OldPasswords.class.getName() + " e where e.passwordOwnerId = :passwordOwnerId ORDER BY e.createdAt DESC";
        TypedQuery<OldPasswords> query = entityManager.createQuery(hql, OldPasswords.class).setMaxResults(3).setParameter("passwordOwnerId", ownerId);
        List<OldPasswords> list = query.getResultList();
        return list;
    }

端点:

@PostMapping("reset_password")
  public ResponseEntity<?> reset(@RequestBody PasswordResetDTO resetDTO) {
    return this.userService.findByLogin(resetDTO.getName()).map(user -> {

        Integer userId = user.getId();

        List<OldPasswords> list = oldPasswordsService.findByOwnerId(userId);

        if(!list.isEmpty() && !list.isEmpty()) {

            for (int i = 0; i<list.size(); i++){
                OldPasswords value = list.get(i);

                boolean matches = passwordEncoder.matches(resetDTO.getPassword(), value.getEncryptedPassword());
                if (matches) {
                    return new ResponseEntity<>("PASSWORD_ALREADY_USED", HttpStatus.BAD_REQUEST);
                }
            }
        }

        OldPasswords oldPasswords = new OldPasswords();
        oldPasswords.setEncryptedPassword(passwordEncoder.encode(resetDTO.getPassword()));
        oldPasswords.setPasswordOwnerId(userId);
        oldPasswordsService.save(oldPasswords);

        user.setEncryptedPassword(passwordEncoder.encode(resetDTO.getPassword()));

        user.setResetPasswordToken(null);
        userService.save(user);
        return ok().build();
    }).orElseGet(() -> notFound().build());
}

但是当我使用相同的密码多次更改代码时，错误 PASSWORD_ALREADY_USED 没有显示。

Answer 1

我认为你的代码有几个问题。

1。 “密码编码器”的类型

根据实际使用的编码算法，密码编码器有多种类型。如果“passwordEncoder”的类型是 MD5、SHA1 等，您很可能会遇到密码冲突，因为您希望密码是唯一的。

意味着如果一个用户有一个弱密码，例如“topSecret123”，而另一个用户有相同的密码“topSecret123”，你的方法

oldPasswordsService.findEncryptedPassword(...)

将返回多个条目，而不是一个。

这将导致例如 NonUniqueResultException什么的。

1.1 一种可能的解决方案:

将密码与用户名相关联。获取由 userId(或类似的东西)给出的用户，并使用该用户的密码进行密码检查。

1.2 另一种可能的解决方案

使用例如 BCryptPasswordEncoder .此类型 PasswordEncoder负责给你的东西加盐。这样可以避免在您的数据库中出现可能的重复条目。如果仅提供“密码”，这些类型的密码编码器无法计算密码或检查密码是否匹配。由于他们对您的编码密码使用“salt”，因此这些类型的密码编码器需要(salt+hashed)密码作为输入，以检查提供的密码是否匹配。

2。实际问题

代码

OldPasswords value = list.get();

是问题所在。 Optional<OldPasswords>可能包含 null值(value)。一个电话.get()在 Optional 上将null值将导致 java.util.NoSuchElementException: No value present .

Optional<OldPasswords> list = oldPasswordsService.findEncryptedPassword(passwordEncoder.encode("new password entered form web reset form"));

if (!list.isPresent()) {
 return new ResponseEntity<>("The old password value you've entered is incorrect", HttpStatus.UNAUTHORIZED);
}

OldPasswords value = list.get();
boolean matches = passwordEncoder.matches("new password entered form web reset form", value.getEncryptedPassword());

if (matches)
{
    return new ResponseEntity<>("PASSWORD_ALREADY_USED", HttpStatus.BAD_REQUEST);
}
else
{
    OldPasswords oldPasswords = new OldPasswords();
    oldPasswords.setEncryptedPassword(passwordEncoder.encode(resetDTO.getPassword()));
    oldPasswordsService.save(oldPasswords);
}

3。旧密码实体

您也不必制作 @Id专栏unique=true , 也不 nullable=false没有updateable=false .

4。混合层

您发布的代码使用服务并更新域对象。并且它确实返回一个ResponseEntity .您显然将应用程序的不同层合二为一。

5。暴露信息

您暴露了信息，即所选的(新)密码已被其他用户使用!不要那样做!加起来是因为第 1 点。我已经列出了。

编辑:

问题更新后，我也想更新我的答案。由于更新问题中的代码片段无法编译，我想根据我从代码片段中了解到的内容制作一个非常简单的基本示例。

我不评论问题中显示的“重置密码”设计的概念，因为中间缺少很多代码。

包括测试在内的完整代码可以在这里找到:https://github.com/mschallar/so_oldpasswords_example

问题中请求的函数的代码是:

@PostMapping("reset_password")
public ResponseEntity<?> reset(@RequestBody PasswordResetDTO resetDTO) {

    Optional<User> findByLogin = this.userService.findByLogin(resetDTO.getName());

    if (!findByLogin.isPresent()) {
        return ResponseEntity.notFound().build();
    }

    User user = findByLogin.get();
    Integer userId = user.getUserId();

    String encodedPassword = passwordEncoder.encode(resetDTO.getPassword());

    for (OldPasswords oldPasswords : oldPasswordsService.findByOwnerId(userId)) {

        if (passwordEncoder.matches(resetDTO.getPassword(), oldPasswords.getEncryptedPassword())) {
            // Information: Don't do that! Don't reveal that another user already has such a password!
            log.info("Password already used.");
            return new ResponseEntity<>("PASSWORD_ALREADY_USED", HttpStatus.BAD_REQUEST);
        }

    }

    OldPasswords oldPasswords = new OldPasswords();
    oldPasswords.setEncryptedPassword(passwordEncoder.encode(encodedPassword));
    oldPasswords.setPasswordOwnerId(userId);
    oldPasswordsService.save(oldPasswords);

    user.setEncryptedPassword(encodedPassword);

    user.setResetPasswordToken(null);
    userService.save(user);

    return ResponseEntity.ok().build();

}