在 Spring Boot 中有效地匹配密码 - JPA答案

【问题标题】：Match password efficiently in Spring Boot - JPA在 Spring Boot 中有效地匹配密码 - JPA
【发布时间】：2019-12-19 02:32:55
【问题描述】：

我有这样的User 类：

@Data
@Entity
public class User {
@Id @GeneratedValue Long userID;
String eMail;
String passwordHash;
}

我有这样的数据：

[{"userID":1,"passwordHash":"asdasd","email":"admin@admin.com"},
{"userID":2,"passwordHash":"12345","email":"admin1asdasd@admin.com"}]

我有两种方法，一种是获取单个用户：

// Single item

@GetMapping("/user/{id}")
User one(@PathVariable Long id) {

    return repository.findById(id)
            .orElseThrow(() -> new UserNotFoundException(id));
}

其他检索所有用户的方法：

// Aggregate root

@GetMapping("/user")
List<User> all() {
    return repository.findAll();
}

现在我该如何匹配密码？什么是有效的方法？

【问题讨论】：

我将向存储库添加一个新方法，该方法对电子邮件和密码哈希的组合进行选择。
匹配哪个密码？你的意思是输入一个未哈希的密码，找出所有用户的密码与输入的密码相同？

标签： json spring-boot jpa passwords

【解决方案1】：

您可能需要考虑this kind of an aproach：一般情况下，您应该将哈希密码保存在数据库中，并使用哈希值检查密码。 Bcrypt 是一个很好的散列选择，它可以很容易地与 Spring 集成。

如上面链接中所述，您可以定义密码编码器服务：

@Bean
public PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}

你可以这样使用它：

@Autowired
private PasswordEncoder passwordEncoder;

//...
User user = new User();
user.setFirstName(accountDto.getFirstName());
user.setLastName(accountDto.getLastName());

user.setPassword(passwordEncoder.encode(accountDto.getPassword()));

user.setEmail(accountDto.getEmail());
user.setRole(new Role(Integer.valueOf(1), user));
repository.save(user);

其中accountDto 包含明文密码。

现在您可以公开一个比较散列值的专用登录方法，类似于以下内容：

void login(String username, char[] password) throws Exception {
    User user = userRepository.findByUsername(username);
    if (user != null) {
        String encodedPassword = user.getPassword();
        if(passwordEncoder.matches(String.valueOf(password), encodedPassword)) {
            return;
        }
    }
    throw new Exception("User cannot be authenticated");
}

【讨论】：