Spring Security: kodowanie haseł w DB i w applicationkontekst

Trochę więcej wyjaśnień na temat zaakceptowanej odpowiedzi. Mam nadzieję, że to komuś pomoże.

Hashuj hasło samodzielnie przed umieszczeniem go w bazie danych:

String password = "plaintextPassword";
PasswordEncoder passwordEncoder = new BCryptPasswordEncoder();
String hashedPassword = passwordEncoder.encode(password);

Dodaj bcryptpasswordencoder bean do swojego security-config.xml

Dodaj passwordEncoder jako właściwość do klasy dostawcy uwierzytelniania. Autowire it or provide setter and getter methods.

@AutoWired
private BCryptPasswordEncoder passwordEncoder;

Get the property while you authendicate user for login

<bean id="dbAuthenticationProvider" class="mypackage.auth.spring.DBAuthenticationProvider" >
    <property name="dataSource" ref="routingDataSource"></property>
    <property name="passwordEncoder" ref="encoder" />
    <property name="passwordQuery"
        value="select password as password from tbl where username=:username">
    </property> 
</bean>

I w klasie authenticating pasują zarówno hasła

 new BCryptPasswordEncoder().matches(plainTextPasswdFromUserInput, hashedPasswdFromDb)

W prosty sposób można zrobić coś takiego jak w applicationContext-security.xml

<authentication-manager alias="authenticationManager">
   <authentication-provider>
    <password-encoder ref="encoder"/>
    <jdbc-user-service data-source-ref="dataSource"
       users-by-username-query="
          select username,password, enabled 
          from principal where username=?" 
       authorities-by-username-query="
          select p.username, a.authority from principal p, authority a
          where p.id = a.principal_id and p.username=?" 
    />
   </authentication-provider>
</authentication-manager> 

  <beans:bean id="encoder" class="org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder"/>

W Javie

public static String encodePasswordWithBCrypt(String plainPassword){
    return new BCryptPasswordEncoder().encode(plainPassword);
}

Następnie przetestuj to

System.out.println(encodePasswordWithBCrypt("fsdfd"));

Używając Spring Security 3.1, spróbuj tego:

<authentication-manager alias="authenticationManager">
    <authentication-provider user-service-ref="service">
        <password-encoder hash="sha"/>
        <jdbc-user-service data-source-ref="dataSource"/>
    </authentication-provider>
</authentication-manager>

<beans:bean id="dataSource" ...>
    ...
</beans:bean>

<beans:bean id="service" class="org.springframework.security.core.userdetails.jdbc.JdbcDaoImpl">
        <beans:property name="dataSource" ref="dataSource"/>
        ...
</beans:bean>

Co nowego: authentication-provider wskazuje na service i service wskazuje na datasource.

Edit: w Javie będziesz musiał zakodować hasło czymś takim:

DigestUtils.sha(request.getParameter("password"));

Warn: bądź ostrożny! Nie mieszaj SHA Z MD5 !

Jeśli ustawisz password-encoder z authentication-provider jako SHA, musisz kodować w Javie w ten sam sposób, aby zachować spójność. Ale jeśli kodujesz w Javie jako MD5, jako próbka, którą znalazłeś, nie zapomnij ustawić hash na "md5". DigestUtils zapewnia również koder md5:

DigestUtils.md5(request.getParameter("password"));

Just a tip for doing it with adnotations

@Configuration
@EnableWebSecurity
@PropertySource("classpath://configs.properties")
public class SecurityContextConfig extends WebSecurityConfigurerAdapter {


@Autowired
@Qualifier("userDetailsService")
private UserDetailsService userDetailsService;

@Autowired
public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
    auth.userDetailsService(userDetailsService).passwordEncoder(getPasswordEncoder());
}


@Bean(name = "passwordEncoder")
public PasswordEncoder getPasswordEncoder(){
    return new BCryptPasswordEncoder();     
 }

}

Przyjęta odpowiedź jest prawidłowa. Przetestowałem go za pomocą spring 3.1 i BCrypt algorytm kodowania.

Podczas tworzenia użytkownika.

PasswordEncoder passwordEncoder = new BCryptPasswordEncoder();
userEntity.setPassword(passwordEncoder.encode(userEntity.getPassword()));
userDao.save(userEntity);

Gdy użytkownik loguje się, pamiętaj, użyj zwykłego hasła (nie hashowanego ). tak jak:

Authentication request = new UsernamePasswordAuthenticationToken(user.getUserName(), user.getPassword());
Authentication result = authenticationManager.authenticate(request);
SecurityContextHolder.getContext().setAuthentication(result);

Oto security-config:

    <bean id="encoder" class="org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder"/>

<bean id="daoAuthenticationProvider" class="org.springframework.security.authentication.dao.DaoAuthenticationProvider">
        <property name="userDetailsService" ref="userService" />
        <property name="hideUserNotFoundExceptions" value="false" />
        <property name="passwordEncoder" ref="encoder" />
    </bean>

Z 3.1.x to mapowanie nie działa dla auth. Sposób pracy to:

<beans:bean id='bCryptPasswordEncoder' class='org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder'></beans:bean>

<authentication-manager>
  <authentication-provider user-service-ref="userDetailsService">
          <password-encoder ref="bCryptPasswordEncoder"/>
  </authentication-provider>
</authentication-manager>