Spring security详细上手教学（三）密码管理

Spring security详细上手教学（三）密码管理

本章节两部分内容

• 实现PasswordEncoder
• 使用Spring Security Crypto模块提供的工具

1. 使用 password encoder

通常，系统不会使用纯文本来保存密码，需要进行加密/哈希等一系列处理以加强安全性。Spring Security将这一部分功能抽象为PasswordEncoder接口

1.1 PasswordEncoder 约束

public interface PasswordEncoder {
    String encode(CharSequence rawPassword);

    boolean matches(CharSequence rawPassword, String encodedPassword);

    default boolean upgradeEncoding(String encodedPassword) {
        return false;
    }
}

• encode() 方法用来对密码进行加密
• matches() 方法检查输入的密码与加密后的密码是否匹配。
• upgradeEncoding() 方法默认是返回false，如果你设置为true，那么密码将会在加密后再次加密，增加安全性。

1.2 实现PasswordEncoder接口

如下代码，实现了一个简单的明文密码处理逻辑。

public class PlainTextPasswordEncoder implements PasswordEncoder {

    @Override
    public String encode(CharSequence rawPassword) {
        return rawPassword.toString();
    }

    @Override
    public boolean matches(CharSequence rawPassword, String encodedPassword) {
        return rawPassword.toString().equals(encodedPassword);
    }
}

public class Sha512PasswordEncoder implements PasswordEncoder {

    @Override
    public String encode(CharSequence rawPassword) {
        return hashWithSHA512(rawPassword.toString());
    }

    @Override
    public boolean matches(CharSequence rawPassword, String encodedPassword) {
        String hashedPassword = hashWithSHA512(rawPassword.toString());
        return encodedPassword.equals(hashedPassword);
    }

    private String hashWithSHA512(String input) {
        StringBuilder result = new StringBuilder();
        try {
            MessageDigest md = MessageDigest.getInstance("SHA-512");
            byte[] hashBytes = md.digest(input.getBytes());
            for (byte b : hashBytes) {
                result.append(0xFF & b);
            }
        } catch (NoSuchAlgorithmException e) {
            throw new RuntimeException(e);
        }
        return result.toString();
    }
}

1.3 选择预置的PasswordEncoder

• NoOpPasswordEncoder——不加密，仅用作例子
• StandardPasswordEncoder——使用SHA256对密码进行哈希处理。目前认为这种方式的安全性不够了。
• Pbkdf2PasswordEncoder——使用基于密钥的密码推导函数
• BCryptPasswordEncoder——使用bcrypt强哈希函数对密码进行加密
• SCryptPasswordEncoder——使用scrypt哈希函数对密码进行加密

1.4 DelegatingPasswordEncode的多加密策略

使用场景。比如之前的密码策略不再安全了，需要升级密码哈希算法，但是旧的用户身份验证不想做更改。就可以使用DelegatingPasswordEncode。

DelegatingPasswordEncode使用一个map来存储不同的PasswordEncoder算法实现

生成的哈希码前缀带有使用加密算法的名字。

    @Bean
    public PasswordEncoder DelegatingPasswordEncoder() {
        Map<String, PasswordEncoder> encoders = new HashMap<>();
        encoders.put("noop", NoOpPasswordEncoder.getInstance());
        encoders.put("bcrypt", new BCryptPasswordEncoder());
        encoders.put("scrypt", SCryptPasswordEncoder.defaultsForSpringSecurity_v5_8());
        return new DelegatingPasswordEncoder("bcrypt", encoders);
    }

PasswordEncoderFactories.createDelegatingPasswordEncoder()方法可以提供一个包含全部PasswordEncoder实现的实例，这个实例默认采用bcrypt算法。

2. 利用Spring Security的密码工具

2.1 使用密钥生成器

”charitalics“ 密钥生成器用于各类哈希、加密算法中生成特定密钥。Spring Security已经封装了很好用的密钥生成器工具，书的作者推荐我们有限使用Spring Security而不是第三方的依赖。

密钥生成器有两个接口：BytesKeyGenerator和StringKeyGenerator。我们可以直接用工厂类KeyGenerators创建他们。我们可以用StringKeyGenerator生成一个字符串的密钥，通常可以用给哈希算法加“盐”或者用于加密算法。

public interface StringKeyGenerator {
	String generate Key();
}

如下代码通过KeyGenerators获取StringKeyGenerator，然后生成密钥

StringKeyGenerator keyGenerator = KeyGenerators.string();
String salt = keyGenerator.generateKey();

BytesKeyGenerator定义如下

public interface BytesKeyGenerator {
    int getKeyLength();
    byte[] generateKey();
}

BytesKeyGenerator另外一个方法是返回key的长度，默认生成key是8字节长度的，如下代码所示

BytesKeyGenerator keyGenerator = KeyGenerators.secureRandom();
byte[] salt = keyGenerator.generateKey();
int keyLength = keyGenerator.getKeyLength();

如果你需指定key的长度，可以这样

BytesKeyGenerator keyGenerator = KeyGenerators.secureRandom(16);

上面我们使用secureRandom方法获取的生成器每次生成的密钥都是不同的。有些时候我们希望每次生成一致的key，那么我们可以使用shared()方法，如下

BytesKeyGenerator keyGenerator = KeyGenerators.shared(16);

2.2 使用encryptors进行加解密

有时候我们需要对发送数据进行加密，涉及到两个类型的接口，BytesEncryptor和TextEncrytor

其中BytesEncrytor更加通用一些

public interface BytesEncryptor {
    byte[] encrypt(byte[] byteArray);
    byte[] decrypt(byte[] encryptedByteArray);
}

下面我们通盘看下如何使用的

String salt = KeyGenerators.string().generateKey();
String password = "password";
String valueToEncrypt = "HELLO";

BytesEncryptor encoder = Encryptors.standard(password, salt);
byte[] encrypted = encoder.encrypt(valueToEncrypt.getBytes());
byte[] decrypted = encoder.decrypt(encrypted);

standard的字节加密使用256位的AES加密算法。

BytesEncryptor encoder = Encryptors.stronger(password, salt);

stronger方法，使用256位的AES加密算法时，采用了伽罗瓦/计数器模式（GCM）作为加密模式；而标准版本使用密码块链（CBC）。

TextEncryptors有三种实例的创建方法，Encryptors.text(), Encryptors.delux(), Encryptors.queryableText()

此外还可以使用Encryptors.noOpTest()方法，创建一个不加密的方法用作测试Demo等

String valueToEncrypt = "HELLO";
TextEncryptor e = Encryptors.noOpText();
String encrypted = e.encrypt(valueToEncrypt);

Encryptors.text()底层还是使用的Encryptors.standard方法
Encryptors.delux()底层使用的是Encryptors.stronger方法