Shiro-无法使用哈希密码进行身份验证

Question

我正在尝试使用Shiro对我正在构建的JSF Web应用程序进行身份验证和授权。不幸的是，我仍然有一些困难缠绕我的头如何把所有的东西放在一起。

我已经成功地（100%使用shiro.ini文件）将身份验证配置回存储测试凭据集的JDBC领域。当凭据以明文形式存储时，它对我来说非常有效。

我的最终目标是统一MySQL数据库中的现有凭证集。密码存储为SHA-256盐哈希。我花了一整天的时间阅读可用的文档（不包括Javadocs），但我仍然难以理解如何准确地设置它。

为了分阶段实现，我修改了我的shiro。ini如下所示，旨在简单使用SHA-256哈希：

[main]
dataSource = org.apache.shiro.jndi.JndiObjectFactory
dataSource.resourceName = jdbc/Communicator_dev
jdbcRealm = org.apache.shiro.realm.jdbc.JdbcRealm
jdbcRealm.dataSource = $dataSource
dataSource.resourceRef = true;

jdbcRealm.authenticationQuery = select password from account where site_id = ?
jdbcRealm.userRolesQuery = select user_role from web_roles where site_id = ?

# From https://stackoverflow.com/questions/20742666/shiro-with-jdbc-and-hashed-passwords.
#
passwordService = org.apache.shiro.authc.credential.DefaultPasswordService
#configure the passwordService to use the settings you desire
#...
passwordMatcher = org.apache.shiro.authc.credential.PasswordMatcher
passwordMatcher.passwordService = $passwordService
#...
# Finally, set the matcher on a realm that requires password matching for account authentication:
jdbcRealm.credentialsMatcher = $passwordMatcher

实际的登录逻辑是在页面支持bean中编程的。下面是我目前使用的简单测试源：

    // Create auth token
    UsernamePasswordToken token = new UsernamePasswordToken(this.siteID, this.password);
    // Get the current subject
    Subject currentUser = SecurityUtils.getSubject();
    // Attempt to login
    try {
        currentUser.login(token);
    } catch (AuthenticationException e) {
        System.out.println("Invalid creds.");
        return "";
    }
    return "authenticated.xhtml?faces-redirect=true";

这段代码与存储在我的RDBMS中的明文密码完美配合，但是现在我已经对它们进行了散列，它失败了。

根据我对框架的理解，我认为问题出在身份验证令牌上。我知道我需要使用不同的令牌来最终实现存储在我的RDBMS中的盐渍哈希，但是我对如何继续感到困惑。

我不想重新发明轮子。四郎有什么东西能做到这一点吗？我已经检查了Les到PasswordMatcher和PasswordService的链接（从jdbc和散列密码的链接shiro），但这仍然不清楚。我需要子类PasswordMatcher吗？

（2） 架构问题：谁真正调用doCredentialsMatch（…）方法它是登录执行期间的域吗（…）方法

（3） doCredentialsMap（…）的AuthenticationInfo参数方法那是由王国提供的吗？由于领域封装了实际的安全数据，在我的例子中，这是从从从RDBMS返回密码的SQL查询创建的对象吗？

非常感谢您抽出时间！我希望当我对这一切都了如指掌时，我能为文档做出贡献。

Answer 1

第1项：我怀疑您可能遇到了这个问题，涉及JdbcRealm的“salt style”参数，该参数默认为“NO_salt”。这会导致散列工作，但如果您在密码中添加了salt，则域将无法正确匹配它们。

以下是您的后续步骤：

基于列的salt样式的默认查询如下：“从username=？”的用户中选择password，password\u salt”。如果无法使用该结构，则需要通过“shiro”提供新的查询。ini’具有类似的结构。

jdbcRealm.authenticationQuery=select password, salt_column_here from users where username = ?

这里有一个相关的问题。

第2项：是的，领域调用doCredentialsMatch（..）方法

项目3：是的，域向doCreentialsMatch（...）方法提供了身份验证信息。