que - spring security wikipedia

Sal de seguridad de primavera

Question

Estoy tratando de agregar un salt al agregar un nuevo usuario / pwd, pero a los documentos parece que les falta cómo hacerlo.

Aquí hay un ejemplo básico:

<authentication-manager>
    <authentication-provider user-service-ref="userDetailsService">
        <password-encoder hash="md5">
            <salt-source user-property="username"/>
        </password-encoder>
    </authentication-provider>
</authentication-manager>

Puede ver en el ejemplo que no se utiliza un codificador de contraseña personalizado o de sal personalizado.

Entonces, ¿cómo conectaría el Salt al agregar un nuevo usuario / pwd? Asumiría que sería algo como:

@Autowired SaltSource saltSource;
protected void foo(final CustomUser user) {
    final PasswordEncoder encoder = new Md5PasswordEncoder();
    user.setPassword(encoder.encodePassword(user.getPassword(), saltSource));
}

Sin embargo, ya que estoy usando los codificadores predeterminados de sal / contraseña y no tengo un bean de sal personalizado, el autowire fallaría.

¿Alguna pista de cómo hacer que esto funcione?

Answer 1

Usted no autoriza el SaltSource cuando agrega un usuario. SaltSource es una abstracción utilizada por Spring para proporcionar la fuente del salt para la comprobación de contraseñas solamente .

Para crear un hash de contraseña codificado correctamente Acabas de pasar el SaltSource a PasswordEncoder , el valor de la propiedad de username de username , no de SaltSource :

private PasswordEncoder encoder = new Md5PasswordEncoder();

public User createUser(String username, String plainTextPassword) {
    User u = new User();
    u.setUsername(username);
    u.setPassword(encoder.encodePassword(plainTextPassword, username));
    getEntityManager().persist(u); // optional
    return u;
}

Además, el autowire de SaltSource no funcionará hasta que se defina como un bean interno. Podría definir ReflectionSaltSource como bean de nivel superior y pasar su ID al password-encoder , es decir:

<bean id="saltSource"
    class="org.springframework.security.authentication.dao.ReflectionSaltSource"
    p:userPropertyToUse="username" />

<bean id="passwordEncoder" 
    class="org.springframework.security.authentication.encoding.Md5PasswordEncoder" />

<bean id="daoAuthenticationProvider"
    class="org.springframework.security.authentication.dao.DaoAuthenticationProvider"
    p:passwordEncoder-ref="passwordEncoder"
    p:saltSource-ref="saltSource"
    p:userDetailsService-ref="userDetailsService" />

<authentication-manager>
    <authentication-provider ref="daoAuthenticationProvider" />
</authentication-manager>

Y entonces:

@Autowired private PasswordEncoder passwordEncoder;
@Autowired private SaltSource saltSource;

public CustomUserDetails createUser(String username, String plainTextPassword) {
    CustomUserDetails u = new CustomUserDetails();
    u.setUsername(username);
    u.setPassword(passwordEncoder.encodePassword(
            plainTextPassword, saltSource.getSalt(u)));
    getEntityNamager().persist(u); // optional
    return u;
}