带有散列存储密码的 HTTP 摘要

Question

我使用 HTTP Digest 连接到我的 Spring 应用程序，使用 Spring DigestAuthenticationFilter。 该应用程序使用的是 Tomcat 7。 它适用于明文密码（在数据库中）

我的问题是：我想存储散列密码（如果可能的话，使用盐），而不是明文。但如果我理解得很好，HTTP Digest 要求密码是明文。

有没有办法在 Spring Security 中改变这一点？

Answer 1

我想存储散列密码 （如果可能的话加盐），而不是 纯文本。但如果我理解得很好， HTTP 摘要需要密码才能 是明文。

有没有办法改变这个 弹簧安全？

不，这是不可更改的，至少在撰写本文时是这样。 Spring Security documentation on Digest Authentication 声明如下，很明显密码必须是明文。

配置的 UserDetailsS​​ervice 是 需要，因为 DigestProcessingFilter 必须可以直接访问清除 用户的文本密码。消化 如果您使用身份验证将不起作用 正在使用您的编码密码 DAO。