在spring security3中使用自定义的MD5和salt进行加密

首先看代码：

<authentication-manager alias="authenticationManager">

<authentication-provider user-service-ref="myUserDetailsService">

<password-encoder ref="myPasswordEncode">

<salt-source user-property="salt"/>

</password-encoder>

</authentication-provider>

</authentication-manager>

<beans:bean id="myPasswordEncode" class="pw.bany.security.MyPasswordEncode">

<beans:constructor-arg name="encode" value="md5"></beans:constructor-arg>

</beans:bean>

如果我们要自己控制密码权限的验证，可以在配置中使用<password-encoder ref="myPasswordEncode">来指定自己的密码验证类，该类继承自MessageDigestPasswordEncoder。需要我们复写了public boolean isPasswordValid(String savePass, String submitPass, Object salt)方法，如果返回true，表示验证通过。上面代码还为MyPasswordEncode传入encode属性，来设置MyPasswordEncode中encode（本文下面的代码没有用到）。这样在isPasswordValid就可以用到需要加密的算法。isPasswordValid中savePass为数据库中加密保存的密码，submitPass为用户登录时提交的明文密码。 

@Override

// 如果返回true，则验证通过。

public boolean isPasswordValid(String savePass, String submitPass,

Object salt) {

return savePass.equalsIgnoreCase(Util.MD5WithSalt(submitPass,

salt.toString()));

}

Util.MD5WithSalt(submitPass,salt.toString())，是我们的加密方法，此处没贴出源码，网上很多。这里的salt需要特别注意一下，怎么才能把数据库中的salt传过来的问题。

上面配置中使用了<salt-source user-property="salt"/>来指定salt，但是系统是怎么知道在数据库中的salt字段呢？其实这里实际上是指定了org.springframework.security.core.userdetails.User中的一个属性，但是这个类中并没有这个属性，此时，需要我们重写这个类，为该类加入salt属性。

package pw.bany.security;

import java.util.Collection;

import org.springframework.security.core.GrantedAuthority;

import org.springframework.security.core.userdetails.User;

public class SaltedUser extends User {

private String salt;

public SaltedUser(String username, String password, boolean enabled,

boolean accountNonExpired, boolean credentialsNonExpired,

boolean accountNonLocked,

Collection<? extends GrantedAuthority> authorities, String salt) {

super(username, password, enabled, accountNonExpired,

credentialsNonExpired, accountNonLocked, authorities);

this.salt = salt;

}

public String getSalt() {

return salt;

}

public void setSalt(String salt) {

this.salt = salt;

}

}

完成这里之后，还是不够的，因为重载的类只是有了这个属性，但是还是不知道如何从数据库中获取。要做到这个其实很简单，我们只需要修改myUserDetailsService中loadUserByUsername的返回值：

@Override

public UserDetails loadUserByUsername(String username)

throws UsernameNotFoundException {

Collection<GrantedAuthority> auths = new ArrayList<GrantedAuthority>();

User user = null;

try {

user = userDao.getUserByName(username);

if (user == null)

throw new UsernameNotFoundException("用户" + username + "不存在!");

List<String> rolenames = userDao.loadRolesByUserName(username);

System.err.println("用户拥有角色有:");

for (String rolename : rolenames) {

SimpleGrantedAuthority authority = new SimpleGrantedAuthority(

rolename);

auths.add(authority);

System.err.println(rolenames);

}

} catch (Exception e) {

e.printStackTrace();

}

System.err.println(auths.size());

boolean isEnabled = true;

boolean accountNonExpired = true;

boolean credentialsNonExpired = true;

boolean accountNonLocked = true;

if (!user.getStatus().equalsIgnoreCase("enabled")) {

isEnabled = false;

}

return new SaltedUser(user.getUsername(), user.getPassword(),

isEnabled, accountNonExpired, credentialsNonExpired,

accountNonLocked, auths, user.getSalt());

}

如上面红色代码部分，一看便知。
 

原文地址:https://blog.csdn.net/zavens/article/details/17165833

转载于:https://www.cnblogs.com/jpfss/p/11022011.html