将密码存储在 xml security-context.xml 或数据库中的最佳实践？

Question

开发者们好日子。 我有问题。在我的 Web 应用程序中，我使用 Spring Security。我有 2 个简单的角色：用户、管理员。对于这些规则中的每一个，我都有自己的密码，因为它们对我的网络应用程序的访问权限不同。所以我现在将所有密码存储在 security.xml 中，采用 sha-256 哈希编码：

    <security:http pattern="/search" security="none" />

    <security:http auto-config="true" >

    <security:session-management session-fixation-protection="migrateSession"/>

    <security:intercept-url pattern="/input" access="ROLE_ADMIN, ROLE_USER"/>
    <security:intercept-url pattern="/delete" access="ROLE_ADMIN"/> 

    <security:form-login login-page="/login" 
                         authentication-failure-url="/loginfail"
                         default-target-url="/input" 
                         always-use-default-target="true" 
                         username-parameter="j_username"
                         password-parameter="j_password" />

    <security:logout logout-success-url="/logout"/>

        <security:session-management>
            <security:concurrency-control max-sessions="1" error-if-maximum-exceeded="true" />
        </security:session-management>

    </security:http>


    <security:authentication-manager>
    <security:authentication-provider>
    <security:password-encoder hash="sha-256"/>
    <security:user-service>
    <security:user name="user" password="04f8996da763b7a969b1028ee3007569eaf3a635486ddab211d512c85b9df8fb" authorities="ROLE_USER"/>
    <security:user name="admin" password="8c6976e5b5410415bde908bd4dee15dfb167a9c873fc4bb8a81f6f2ab448a918" authorities="ROLE_ADMIN"/>
    </security:user-service>
    </security:authentication-provider>
    </security:authentication-manager>

这真的是个好主意吗？也许需要将它们仅存储在 DB（例如 H2）中以获得更多保护。

<bean id="dataSource" class="com.mchange.v2.c3p0.ComboPooledDataSource"> <!-- Using and configuring C3P0 proxy -->
        <property name="driverClass"><value>org.h2.Driver</value></property>
        <property name="jdbcUrl"><value>jdbc:h2:/home/vadim/workspace-sts-3.1.0.RELEASE/h2/EDUCATION</value></property>
        <property name="user"><value>sa</value></property>
        <property name="password" ><value></value></property>
        <property name="initialPoolSize"><value>3</value></property> <!-- Number of Connections a pool will try to acquire upon startup -->
        <property name="minPoolSize"><value>1</value></property> <!-- Minimum connection pool size -->
        <property name="maxPoolSize"><value>20</value></property> <!-- Max connection pool size -->
        <property name="maxConnectionAge"><value>3600</value></property> <!-- Set max connection age to 1 hour, after it will release -->
        <property name="maxIdleTime"><value>600</value></property> <!-- 10 minutes connection can stay unused before be discarded -->
        <property name="checkoutTimeout"><value>200000</value></property> <!-- Each what time check for unused connections -->
        </bean>

现在我的密码是空白的，但我应该有一个。如何保护它？？

谢谢。

Answer 1

使用新的 BCryptPasswordEncoder：

http://static.springsource.org/spring-security/site/docs/3.1.x/apidocs/org/springframework/security/crypto/bcrypt/BCryptPasswordEncoder.html

它会自动为您的密码加盐。

我推荐 BCrypt，因为它很强大，速度很慢，并且没有已知的弱点。 “慢”实际上是哈希算法中你想要的一个特性，因为这意味着如果有人窃取了你的密码，它需要更长的时间来破解。

SHA 256 是weakened。 MD5肯定坏了。

在 xml 文件中存储用户/散列密码的优点是简单。但是，您需要重新启动应用程序才能进行更改。此外，没有用户自我管理。

BCryptPasswordEncoder 上有一个 encode 方法，可让您对密码进行编码以存储在 xml 或数据库中。

Answer 2

不要将两个用户硬编码为两个角色。使用该应用程序的每个人都应该是拥有自己的用户名和密码的个人用户。各个用户将拥有一个或两个角色。

考虑到这一点，很明显您需要将用户数据存储在数据库中。您的用户表应该包含用户名、散列密码、盐和您需要的任何其他字段。

您应该有另一个包含角色的表，以及另一个将用户映射到角色的表。

创建用户后，您应该使用密码随机生成器（例如SecureRandom）生成盐。散列密码是使用散列算法创建的，salt, spring security 有一个ShaPasswordEncoder 可以做到这一点（它还支持多个散列迭代）。

我建议阅读 spring 安全文档，特别是 http://static.springsource.org/spring-security/site/docs/3.1.x/reference/ns-config.html#ns-auth-providers

Answer 3

当您存储密码时，您必须至少对其进行散列（多次，例如 1000）并对其进行加盐。

多次散列是必不可少的，因为如果有人试图破解密码，他还需要像你一样多次对输入进行散列：这会让黑客失去时间。

加盐可防止黑客使用哈希密码的反向表。

您还应该为每个用户使用不同的盐。

这里，你的密码在配置文件中加密，没有加盐，我只是用逆向表来找到对应的密码。

编辑：实际上，我试过了。您的第一个密码是“user”。您的第二个密码是“admin”。我让他们使用这个简单的公开可用的reverse table。