如何使用spring boot security获取用户名和输入的密码而不进行编码

Question

我已经使用 Spring Boot 安全性实现了安全层，并且我使用了 MD5 加密机制来对提供的密码进行编码。它按预期完美运行，但我需要获取用户在 DAO 或服务层中输入的用户名和原始密码。以下是我使用的代码

@Autowired
UserDao userDao;

@Autowired
@Qualifier("userDetailsService")
UserDetailsService userDetailsService;

@Autowired
private RESTAuthenticationEntryPoint authenticationEntryPoint;

@Autowired
private RESTAuthenticationFailureHandler authenticationFailureHandler;
@Autowired
private RESTAuthenticationSuccessHandler authenticationSuccessHandler;

@Override
public void configure(WebSecurity web) throws Exception {
    web.ignoring().antMatchers("/css/**", "/fonts/**", "/images/**");
}


/**
 * Security implementation to access the services
 */
@Override
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests().antMatchers("/", "/index.html","/home.html","/page/*","/home/*", "/login.html","/login","/cms/createPhoneNo").permitAll();
    http.authorizeRequests().anyRequest().fullyAuthenticated().and().httpBasic().and().csrf().disable();
    http.exceptionHandling().authenticationEntryPoint(authenticationEntryPoint);
    http.formLogin().loginProcessingUrl("/login/authenticate").successHandler(authenticationSuccessHandler);
    http.formLogin().failureHandler(authenticationFailureHandler);
    http.logout().logoutRequestMatcher(new AntPathRequestMatcher("/logout")).invalidateHttpSession(true);
    http.exceptionHandling().accessDeniedHandler(accessDeniedHandler());

    // CSRF tokens handling
    http.addFilterAfter(new CsrfTokenResponseHeaderBindingFilter(), CsrfFilter.class);
}

/**
 * Configures the authentication manager bean which processes authentication
 * requests.
 */
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    // Dao based authentication
    auth.userDetailsService(userDetailsService).passwordEncoder(new Md5PasswordEncoder());
}

private AccessDeniedHandler accessDeniedHandler() {
    return new AccessDeniedHandler() {

        @Override
        public void handle(HttpServletRequest request, HttpServletResponse response,
                AccessDeniedException accessDeniedException) throws IOException, ServletException {
            response.getWriter().append("Access denied");
            response.setStatus(403);
        }
    };
}

/**
 * This bean is load the user specific data when form login is used.
 */
@Bean
public UserDetailsService userDetailsService() {
    return new MyCustomUserDetailsService(userDao);
}

}

有人可以帮我实现这个场景吗？

谢谢，

Answer 1

在我提供答案之前，必须警告：

以明文形式存储用户密码是非常危险的。无论谁 有权访问 db 有权访问用户的密码，这意味着他们可以 在您的应用程序中模拟用户。用户也倾向于重用 密码，因此您将该用户暴露在其他系统上的风险（他们的 电子邮件、他们的 Facebook 等...）。

别挡道，哦等等，再来一个：

MD5 是一种非常弱的单向哈希。以rainbow tables为准 生成给定哈希的纯文本很容易被发现。 考虑改用更强大的东西，比如 SHA-256、Scrypt、 Bcrypt 或 PBKDF2。

好的，完成了。使用 org.springframework.security.authentication.encoding.PlaintextPasswordEncoder 并在您的 DAO 中按需应用 MD5（或更好的轻推）哈希。

Answer 2

添加到您的configure(AuthenticationManagerBuilder) 方法中：

auth.eraseCredentials(false);

然后你可以得到当前用户的用户名和密码：

String username = SecurityContextHolder.getContext().getAuthentication().getName();
Object rawPassword  = SecurityContextHolder.getContext().getAuthentication().getCredentials();