如何使用 Hibernate 映射 byte[] 属性？

Question

我正在使用 Hibernate/Java 将实体持久保存到数据库中。该实体有一个 password 字段，它是一个 String。在我的应用程序中注册用户时，我使用 SHA-1 对密码进行哈希处理（我承认这有点弱）。这会产生一个 byte[] ，然后我将其转换为 String 使用 new String(byte[] arr); 每当我想登录用户时，我只需从数据库中检索散列密码（作为 String）并将其与登录时输入密码的摘要进行比较 hashedPasswordFromDatabase.equals(SHA1_HASH(inputPassword));

这在我的开发系统（Windows 7、JDK 1.6.0_23 / JDK 1.7、MySQL 5.5、Tomcat 6.0.26）上完美运行，但在我们的服务器上部署后（在 Linux 上运行 JDK 1.6 )，即使密码相同，equals 方法也永远不会计算为 TRUE。我快速设置了一个新的开发系统（Ubuntu 12.04、MySQL 5.5、JDK 1.7.0_03、Tomcat 7.0.22），但它也不能在那里工作。

我知道 String 类的 Java API 文档中所述的可能的编码问题，并且在 SO 的几个地方也有说明。我尝试了该论坛上建议的几种编码（例如 Base64、Latin-1），但最终得到了 UnsupportedEncodingException。我想我最好避免字符串转换。那么如何设计我的数据库，以便 Hibernate 生成的实体类为 password 字段提供 byte[] 而不是 String？

Answer 1

是的，问题很可能出现在byte[] 到String 的转换中。您必须知道 SHA 生成原始的byte 数组，并且不保证任意的byte[] 将生成有效的String，与编码无关。因此，您的代码只是偶然工作。

通过以下方式完全避免问题：

• 在 BLOB 中存储原始 byte[] - 最安全和最有效的存储方式。在 Hibernate 中，只需在您的 POJO 上使用 byte[] 属性。

• 使用base64 编码byte[]（查看Decode Base64 data in Java）并将其存储为字符串。

顺便说一句remember about salting!

Answer 2

就我而言，糟糕的数据库设计促使我在 Clob 的情况下使用 Blob。解决方案是在休眠时映射带有 Lob 注释的属性，并将另一个属性放入 String 类型。

在其他级别的代码中，当我调用 get 或 set 时，我使用 String 属性和 this 属性，获取或设置字节数组值。

@Entity
@Table(name = "CMUN_TAGS")
@SequenceGenerator(name = "idSeqTag", sequenceName = "SEQ_CMUN_TAGS")
public class CmunTagsDO implements java.io.Serializable {
  private BigDecimal lngIdTag;
  private byte[] blobValTag;
  private String strValTag;

  @Id
  @Column(name = "LNG_ID_TAG", unique = true, nullable = false, precision = 20, scale = 0)
  @GeneratedValue(strategy = GenerationType.SEQUENCE, generator = "idSeqTag")
  public BigDecimal getLngIdTag() {
    return this.lngIdTag;
  }

  public void setLngIdTag(BigDecimal lngIdTag) {
    this.lngIdTag = lngIdTag;
  }

  @Column(name = "BLOB_VAL_TAG", nullable = false)
  @Lob
  public byte[] getBlobValTag() {
    return this.blobValTag;
  }

  public void setBlobValTag(byte[] blobValTag) {
    this.blobValorTag = blobValorTag;
  }

  @Transient
  public String getStrValTag() {
    strValTag = new String(getBlobValTag());
    return strValTag;
  }

  public void setStrValTag(String strValTag) {
    setBlobValTag(strValTag.getBytes());
    this.strValTag = strValTag;
  }
}

Answer 3

您可以像这样将字节转换为十六进制表示：

public String encryptPassword(String passwordInClear) {
            // Salt all you want here.
            MessageDigest sha256 = MessageDigest.getInstance("SHA-256");
    byte[] digest = sha256.digest(passwordInClear.getBytes());
    return digestToString(digest);
}

private String digestToString(byte[] digest) {
    StringBuilder hashString = new StringBuilder();
    for (int i = 0; i < digest.length; i++) {
        String hex = Integer.toHexString(digest[i]);
        if (hex.length() == 1) {
            hashString.append('0');
            hashString.append(hex.charAt(hex.length() - 1));
        } else {
            hashString.append(hex.substring(hex.length() - 2));
        }
    }
    return hashString.toString();
}