如何使用Spring Security中的新PasswordEncoder

Question

从Spring Security 3.1.4版本起，旧的org.springframework.Security.authentication.encoding.passwordencoder已被弃用，而改为org.springframework.Security.crypto.password.passwordencoder。由于我的应用程序还没有向公众发布，我决定转移到新的，而不是不推荐使用的API。

到目前为止，我有一个ReflectionSaltSource自动使用用户的注册日期作为每个用户的salt口令。

String encodedPassword = passwordEncoder.encodePassword(rawPassword, saltSource.getSalt(user));

在登录过程中，Spring还使用my bean适当验证用户是否可以登录。我无法在新的密码编码器中实现这一点，因为SHA-1-StandardPasswordEncoder的默认实现只能在编码器创建期间添加全局秘密盐。

有没有合理的方法如何设置它与非弃用的API？

Answer 1

如果您还没有用现有格式注册任何用户，那么您最好改用BCrypt密码编码器。

这就少了很多麻烦，因为你根本不用担心salt的问题--细节完全封装在编码器中。使用BCrypt比使用纯散列算法更强，它也是一种与使用其他语言的应用程序兼容的标准。

对于一个新的应用程序，真的没有理由选择任何其他选项。