BCryptPasswordEncoder - 编码密码看起来不像 BCrypt答案

【问题标题】：BCryptPasswordEncoder - Encoded password does not look like BCryptBCryptPasswordEncoder - 编码密码看起来不像 BCrypt
【发布时间】：2018-04-11 09:35:11
【问题描述】：

我有一个 SpringBoot 2.0.1.RELEASE mvc 应用程序，这是我的配置文件

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {


    @Autowired
    private Environment env;


    @Override
    protected void configure(HttpSecurity http) throws Exception {

        final List<String> activeProfiles = Arrays.asList(env.getActiveProfiles());
        if (activeProfiles.contains("dev")) {
            http.csrf().disable();
            http.headers().frameOptions().disable();
        }

        http
                .authorizeRequests()
                .antMatchers(publicMatchers()).permitAll()
                .and()
                .formLogin().loginPage("/login").defaultSuccessUrl("/elcordelaciutat/config")
                .failureUrl("/login?error").permitAll()
                .and()
                .logout().permitAll();
    }

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {

         PasswordEncoder encoder = PasswordEncoderFactories.createDelegatingPasswordEncoder();
         UserDetails userDetails = User.withUsername("elcor")
                  .password(encoder.encode("elcor"))
                  .roles("ADMIN")
                  .build();
         auth.inMemoryAuthentication().withUser(userDetails);

    }


    private String[] publicMatchers() {

         /** Public URLs. */
        final String[] PUBLIC_MATCHERS = {
                "/webjars/**",
                "/css/**",
                "/js/**",
                "/images/**",
                "/",
                "/about/**",
                "/contact/**",
                "/error/**/*",
                "/console/**"
        };

        return PUBLIC_MATCHERS;

    }

}

但是当我登录到应用程序时，我在日志文件中收到了这条消息：

2018-04-11 11:27  [http-nio-5678-exec-7] WARN  o.s.s.c.b.BCryptPasswordEncoder - Encoded password does not look like BCrypt

我无法登录...密码正确。将我的应用程序从 SpringBoot 1 更新到 SpringBoot 2 后出现此错误

【问题讨论】：

通过快速搜索，我找到了 this 。可能是因为更新版本的 Bcrypt 导致哈希格式发生了变化。

标签： spring spring-mvc spring-boot spring-security bcrypt

【解决方案1】：

Spring Security 在版本 5 中引入了一些重大更改。其中之一是在哈希中包含用于对密码进行哈希处理的算法。这使得迁移更容易。

密码的一般格式是：

{id}encodedPassword

附带说明：如果您将密码存储在数据库中并设置了固定长度，这也可能导致您意外截断散列末尾的情况，因为它前面的 id 长度为哈希增加。

我还将一个项目从 Spring Boot 1 / Spring 4 迁移到 Spring Boot 2 / Spring 5 并从 BCrypt 迁移到 PBKDF2。

我的密码编码器现在看起来像这样：

public PasswordEncoder passwordEncoder() {
    // This is the ID we use for encoding.
    String currentId = "pbkdf2.2018";

    // List of all encoders we support. Old ones still need to be here for rolling updates
    Map<String, PasswordEncoder> encoders = new HashMap<>();
    encoders.put("bcrypt", new BCryptPasswordEncoder());
    encoders.put(currentId, new Pbkdf2PasswordEncoder(PBKDF2_2018_SECRET, PBKDF2_2018_ITERATIONS, PBKDF2_2018_HASH_WIDTH));

    return new DelegatingPasswordEncoder(currentId, encoders);
}

还需要更新数据库并在所有当前哈希前加上{bcrypt}（我之前专门使用过BCrypt）

来源：Spring Blog

【讨论】：