将 BCrypt 密码散列与 Spring Security Grails 插件一起使用

Question

我正在尝试在使用 Spring Security 插件的 Grails 应用程序中使用 BCrypt 密码散列。我已通过将以下内容添加到 Config.groovy

来启用 BCrypt

grails.plugins.springsecurity.password.algorithm = 'bcrypt'

我定义了以下编解码器来简化使用 BCrypt 对密码进行编码：

public class PasswordCodec {

    // it doesn't seem to be possible to dependency-inject codecs, so lookup the bean ourselves
    @Lazy
    private static PasswordEncoder passwordEncoder = Holders.grailsApplication.mainContext.getBean('passwordEncoder')

    static encode = { str ->
        passwordEncoder.encodePassword(str.toString(), null)
    }
}

当我在开发模式下启动应用程序时，数据库会使用几个帐户进行引导（每个帐户都有相同的密码，例如

3.times { i ->
    def username = "user$i"
    def password = "secret".encodeAsPassword()

    new User(username: username, password: password).save()
    // also assign the user a role
}

如果我查看数据库，我发现每个用户密码的编码值都不同！因此，当用户尝试登录并输入“secret”密码时，BCrypt 编码的密码值与数据库中保存的值不匹配也就不足为奇了，因为字符串的 BCrypt 编码值似乎发生了某种变化随着时间的推移。

显然我在这里做错了什么，但我不知道是什么？

Answer 1

在输入相同的情况下，密码哈希通常是相同的（偶尔输入不同）。但是 bcrypt 和其他人每次都会生成不同的哈希值。不过这不是问题，因为PasswordEncoder 接口既有String encodePassword(String rawPass, Object salt) 方法来生成哈希，也有boolean isPasswordValid(String encPass, String rawPass, Object salt) 方法来验证它们。

对于像 MD5、SHA-1 等更简单的哈希，验证过程只是重新编码明文密码并检查它是否与存储的哈希值相同。使用 bcrypt 的过程要复杂得多，但最终结果是相同的 - 它不检查 相等，而是检查它们是否 等价。因此，如果您对相同的密码进行两次哈希处理并将它们与isPasswordValid 进行比较，它将返回true。