Spring Security 中使用编码密码进行身份验证

Question

拥有带有密码编码的简单 Spring Security web 应用程序：

<security:authentication-manager alias="authenticationManager">
<security:authentication-provider user-service-ref="personService">
     <security:password-encoder hash="md5" ref="passwordEncoder"> 
        <!--  <security:salt-source user-property="username"/> -->
     </security:password-encoder>
 </security:authentication-provider>
</security:authentication-manager>

编码也很简单：

 person.setPassword(encoder.encodePassword(person.getPassword(), null));

因此在数据库中所有密码都将被编码。 现在我想在应用程序中使用特定用户名对某些用户进行身份验证。 之前（当密码是明文时）是这样的：

UsernamePasswordAuthenticationToken token = new UsernamePasswordAuthenticationToken(
                username, password);
Authentication authentication = authenticationManager.authenticate(token);
SecurityContextHolder.getContext().setAuthentication(authentication);

但是现在我从数据库获取编码密码，并且无法像以前一样进行身份验证。

问题。 Spring 不知道密码来自已编码的 UsernamePasswordAuthenticationToken 。他正在第二次对其进行编码。 谁可以帮忙？

编辑

所以我在这里看到两个解决方案：

1. 实现自定义 DaoAuthenticationProvider，其中添加检查两个密码是否已散列
2. 实现自定义身份验证并将其手动放入安全上下文中。

还有其他人吗？什么是最好的？

Answer 1

您实际上并没有说出出了什么问题，但身份验证代码应该与非哈希版本完全相同。

如果数据库中有散列密码，并且相应的编码器注入到身份验证提供程序中，则用户提供的密码将在与数据库版本进行比较之前由编码器进行散列处理。

确保：

1. 创建 UsernamePasswordAuthenticationToken 时使用未散列的密码值
2. 。数据库中的值确实与编码器生成的散列相同。自己加载并在测试中检查它。例如，数据库可能以大写形式存储它。

另外，您可能应该选择比普通 MD5 更好的东西。例如，您可能想看看 bcrypt，它在 Spring Security 3.1 中受支持，并自动使用随机盐值。

更新

您关于创建接受散列密码的提供商的建议并不是一个好的建议。这将允许任何窃取密码哈希的人直接使用它进行身份验证（从而首先破坏了哈希的目的）。

只需验证您的电子邮件 URL 链接，加载该用户的信息并为他们创建一个 Authentication 对象：

UserDetails user = ... // load user here
Authentication a = new UsernamePasswordAuthenticationToken(user, null, user.getAuthorities());
SecurityContextHolder.getContext().setAuthentication(a);