如何使用没有密码编码的Spring security？

Question

我正在学习Spring安全。我使用BCryptPasswordEncoder在将用户密码持久化到数据库之前对其进行编码

代码：

@Override
    public void saveUser(User user) {
        user.setPassword(bCryptPasswordEncoder.encode(user.getPassword()));
        user.setActive(1);
        Role userRole = roleRepository.findByRole("ADMIN");
        user.setRoles(new HashSet<Role>(Arrays.asList(userRole)));
        userRepository.save(user);
    }

然后在身份验证期间也使用它,用户得到了预期的身份验证。

@Override
    protected void configure(AuthenticationManagerBuilder auth)
            throws Exception {
        auth.
            jdbcAuthentication()
                .usersByUsernameQuery(usersQuery)
                .authoritiesByUsernameQuery(rolesQuery)
                .dataSource(dataSource).passwordEncoder(bCryptPasswordEncoder);
    }

然后，从configure()方法中删除了.passwordencoder（bCryptPasswordEncoder）；，使用已编码密码的用户仍然能够成功地获得身份验证。

然后，我从saveuser()和configure()方法中删除了password encoder，并将user持久化到数据库中（即没有密码编码），并尝试访问经过身份验证的页面，但我得到了accesseddeniedexception，

但具有编码密码的用户仍然得到了身份验证，即使我从configure()方法中删除了Passwordencoder()。为什么会出现这种情况？

spring security默认情况下在身份验证期间使用密码编码器吗？

如果是，如何使用spring security而不使用密码编码？

Answer 1

Spring Security 5始终启用密码加密。默认情况下使用的加密是bcrypt。Spring Security5的精妙之处在于，它实际上允许您在密码中指定使用哪种加密来创建has。

请参阅Spring Security Reference Guide中的密码存储格式。简而言之，它允许您为您的密码加上一个众所周知的算法密钥的前缀。存储格式为{ } 。

当不使用任何内容时，它将变成{noop}your-password（它将使用noopPasswordEncoder和{bcrypt}$A2.....将使用bcryptPasswordEncoder。有几种算法是开箱即用的，但您也可以定义自己的算法。

要定义自己的密码，请创建自己的PasswordEncoder，并在DelegatingPasswordEncoder的键下注册它。