使用 Spring Boot 在 oauth2 中进行用户身份验证

Question

我已经使用 Spring Boot 实现了 OAuth 2.0。我将散列密码（包括盐）存储到我的数据库中。

我是 Spring 新手，不知道如何验证用户名/密码。

这是我的 UserDAO 类：

@Service
public class UserDAO implements UserDetailsService{

@Autowired
private LoginDetailsManager loginDetailsManager;

@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {

    System.out.println("Get user");
    LoginDetails user = loginDetailsManager.getByUsername(username);
    System.out.println(user.toString());
    if (user == null) {
        // Not found...
        throw new UsernameNotFoundException(
                "User " + username + " not found.");
    }

    GrantedAuthority grantedAuthority = new SimpleGrantedAuthority("ROLE_USER");
    List<GrantedAuthority> grantedAuthorities = new ArrayList<>();
    grantedAuthorities.add(grantedAuthority);

    String password = user.getPasswordHash();
    String salt = user.getSalt();
    return new UserDetailsImpl(
            user.getUsername(),
            user.getPasswordHash(),
            salt,
            grantedAuthorities);
}
}

这是来自 Application 类的安全配置器：

@Override
public void configure(AuthorizationServerSecurityConfigurer security) throws Exception {
    security.allowFormAuthenticationForClients();
}

问题：

1. 如何找回用户输入的密码？ UserDetailsS​​ervice 的实现给了我用户输入的用户名。
2. 是否有处理这种“散列密码+盐”身份验证的内置方法？我错了吗？

Answer 1

在 Spring Security 中，检索主体、提供盐和分别匹配密码的编码都是相互解耦的。您的 UserDetails 服务基本上是获取主体的正确方法。

您必须提供一个 PasswordEncoder，Spring Boot 中的默认值是 BCrypt，它与您的哈希不匹配。 Spring Boot 和 Spring Security 不再使用旧的密码编码器（ShaPasswordEncoder 等）以及盐源。您必须手动定义它们。

假设您有一个包含盐列的UserDetails，此配置基本上应该可以满足您的需求。如果你不知道怎么做，这里是我即将出版的书中的完整实现ShaPasswordEncoderConfig.java。

@Configuration
public class ShaPasswordEncoderConfig 
    extends WebSecurityConfigurerAdapter {

    final UserDetailsService userDetailsService;

    public ShaPasswordEncoderConfig(final UserDetailsService userDetailsService) {
        this.userDetailsService = userDetailsService;
    }

    @Override
    public void configure(
        AuthenticationManagerBuilder auth
    ) {
        DaoAuthenticationProvider authProvider
            = new DaoAuthenticationProvider();
        authProvider.setUserDetailsService(
            userDetailsService);
        authProvider.setPasswordEncoder(
            new ShaPasswordEncoder(256));
        authProvider.setSaltSource(
            user -> ((UserWithSalt)user).getSalt());

        auth.authenticationProvider(authProvider);
    }
}

要完成这项工作，您必须扮演自己的 UserDetails 实现角色，而不是使用 Spring Security 本身的那个，因为它没有存储盐的属性。

我在示例中使用的 SaltSource 是一个 lambda，它将 UserDetails 转换为我的实现并获取盐。您还可以使用ReflectionSaltSource，这是一种通过反射获取盐的实现。

编辑

UserDetails 很容易实现，见：

你可以使用这样的实现：

class UserDetailsImpl implements UserDetails {

    private final String username;
    private final String hashedPassword;
    private final String salt;
    private final List<GrantedAuthority> grantedAuthorities;

    public UserDetailsImpl(String username, String hashedPassword, String salt, List<GrantedAuthority> grantedAuthorities) {
        this.username = username;
        this.hashedPassword = hashedPassword;
        this.salt = salt;
        this.grantedAuthorities = grantedAuthorities;
    }

    @Override
    public Collection<? extends GrantedAuthority> getAuthorities() {
        return grantedAuthorities;
    }

    @Override
    public String getPassword() {
        return hashedPassword;
    }

    @Override
    public String getUsername() {
        return username;
    }

    public String getSalt() {
        return salt;
    }

    @Override
    public boolean isAccountNonExpired() {
        return true;
    }

    @Override
    public boolean isAccountNonLocked() {
        return true;
    }

    @Override
    public boolean isCredentialsNonExpired() {
        return true;
    }

    @Override
    public boolean isEnabled() {
        return true;
    }   
}

Answer 2

我最终实现了我自己的 PasswordEncoder 接口并使用本地静态变量通过 db 将盐传递给它。

根据我对控制流的观察，实现是实验性的：

1. PasswordEncoder 中的客户端密码验证
2. 如果步骤 1 被清除，loadUserByUsername 在 userDAO。
3. PasswordEncoder 中的密码验证

---

public class PasswordEncoderImpl implements PasswordEncoder {

    public static Constants constants = new Constants();

    @Override
    public String encode(CharSequence rawPassword) {
        return DigestUtils.sha256Hex(rawPassword.toString());
    }

    @Override
    public boolean matches(CharSequence rawPassword, String encodedPassword) {
        String salt = constants.getSalt();

    /**
     * If salt is null, it means the value in constants object is empty now.
     * => client-secret validation is going on
     * => we just need the comparision of plain-text string.
     */
        if(salt != null) {
//    case of password authentication
            return DigestUtils.sha256Hex(salt + rawPassword).equalsIgnoreCase(encodedPassword);
        } else {
        //case of client-secret authentication
            return rawPassword.equals(encodedPassword);
        }
    }
}

在我的 UserDAO 中，我从持久性中获取用户详细信息，我会在返回用户之前将 salt 存储到对象常量中：

@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {

    System.out.println("Get user");
    user = loginDetailsManager.getByUsername(username);
    System.out.println(user.toString());
    if (user == null) {
        // Not found...
        throw new UsernameNotFoundException(
                "User " + username + " not found.");
    }

    GrantedAuthority grantedAuthority = new SimpleGrantedAuthority("ROLE_USER");
    List<GrantedAuthority> grantedAuthorities = new ArrayList<>();
    grantedAuthorities.add(grantedAuthority);

    constants.set(user.getSalt());

    return new User(
            user.getUsername(),
            user.getPasswordHash(),
            true, true, true, true,
            grantedAuthorities);
}