使用 Jasypt：当密码应该匹配时，checkPassword 方法返回 false。

Question

为了向您提供一些背景知识，我和我的团队正在创建一个程序，将用户名和密码存储在数据库中。我们使用Java并通过java代码与数据库交互。

我们使用 Jasypt 来加密用户名和密码。我正在使用 Jasypt 中的 BasicPasswordEncryptor 来加密两者。用户名加密良好并存储在数据库中。但是，当检查登录并表示 BasicPasswordEncryptor 尝试根据加密密码检查明文用户名时，它始终返回 false。我进行了一系列检查，以重点确定问题发生的位置。据我所知，这是Jasypt的问题。有谁知道问题是什么，可能的解决方案，或更优化的方法？谢谢。我将发布代码。

这是加密发生的地方。

public void register(String userName, String passWord){
    String encryptedUsername = e.encryptPassword(userName);
    String encryptedPassword = e.encryptPassword(passWord);
    System.out.println("Registered eU: " + encryptedUsername);
    try {
        con = DriverManager.getConnection("jdbc:mysql://localhost:3306/PandaBox", "root", "");
        statement = con.prepareStatement("insert into Users (username, password, logged) values (?,?,?)");
        statement.setString(1, encryptedUsername);
        statement.setString(2, encryptedPassword);
        statement.setInt(3, 0);
        boolean x = statement.execute();
        System.out.println("IT REGISTERED");

    } catch (SQLException o) {
        o.printStackTrace();
    }
}

其中“e”是 BasicPasswordEncryptor 对象。这是登录检查。

public boolean checkLogin(String inputedUsername, String inputedPassword) {
    try {
        con = DriverManager.getConnection("jdbc:mysql://localhost:3306/PandaBox", "root", "");
        statement = con.prepareStatement("select * from Users");
        rs = statement.executeQuery();
        System.out.println(inputedUsername + " / " + inputedPassword);

        while(rs.next()){
            String usernameInDatabase = rs.getString("username");
            System.out.println(usernameInDatabase);
            if (e.checkPassword(inputedUsername, usernameInDatabase)) {  
                System.out.println("Username correct.");
                statement = con.prepareStatement("select password from Users where username = ?");
                statement.setString(1, usernameInDatabase);
                rs = statement.executeQuery();
                String passwordInDatabase = rs.toString();
                if(passwordIsCorrect(inputedPassword, passwordInDatabase)){
                    return true;
                }                                               
            }                                   
        }
        return false;
    } catch (SQLException o) {
        // TODO Auto-generated catch block
        o.printStackTrace();
        return false;
    }

}

Answer 1

我是 jasypt 的作者。

从您的消息中，我不清楚您在匹配用户名或密码时是否观察到此问题——您说“尝试根据加密密码检查明文用户名”，这是没有意义的。然而，像您这样的问题的最常见原因之一是您的数据库列不够大，无法存储散列用户名和/或密码。

散列结果的大小取决于所使用的算法和盐配置，但对于使用 MD5 和 8 字节盐大小的 BasicPasswordEncryptor，您应该期望散列为 16 字节（散列）加上 8 字节（ salt)，加上由于文本 Base64 编码而产生的 8 个额外字节。总共32个字节。

还认为许多 DBMS 以字符而不是字节来测量 varchar 字段，因此您应该根据表中使用的字符编码进行适当的转换。

我总是建议首先检查列大小，因为如果您尝试存储对于列来说太长的 varchar，许多 DBMS 不会引发错误 - 它们只是将其截断。我不知道 MySQL 的行为，但 Oracle 正是这样做的。当你尝试解密它时......它不匹配。

因此，检查色谱柱尺寸可能是一个很好的起点。请记住 jasypt 在 http://forum.jasypt.org 上有一个用户论坛

哦，顺便说一下——如果这只是临时演示代码，请原谅我，但以防万一：您应该确保在重用之前关闭“finally”块中的所有 Statement 和 ResultSet 对象...因此您应该使用不同的“statement”和“ rs 内部变量迭代块，并每次关闭它们。

问候。

Answer 2

优化1：使用WHERE子句。