如何加快SpringBoot2.0基本身份验证？

Question

我最近将一个Spring Boot应用程序从V1.5更新到V2.0.3。它是一个具有作为RESTendpoint公开的方法的应用程序，并通过基本的HTTP身份验证加以保护。用户名和密码硬编码在应用程序加载的属性文件中。

自更新以来，响应时间增加了近200ms，处理请求的98%时间花费在BasicAuthenticationFilter.doFilter（）中。

更具体地说，需要花费时间对请求中的密码进行编码，以便将其与配置提供的密码进行比较。

@EnableWebSecurity
@PropertySource("classpath:auth/auth.properties")
public class SecurityConfig extends WebSecurityConfigurerAdapter {

     @Value("${user.name}")
     private String userName;
     @Value("${user.password}")
     private String userPassword;
     @Value("${user.roles}")
     private String[] userRoles;

     @Override
     protected void configure(final AuthenticationManagerBuilder auth) throws Exception {
        PasswordEncoder encoder = PasswordEncoderFactories.createDelegatingPasswordEncoder();
        UserDetails user = User.withUsername(userName).password(encoder.encode(userPassword)).roles(userRoles).build();
        auth.inMemoryAuthentication().withUser(user);
    }

    @Override
    protected void configure(final HttpSecurity http) throws Exception {
        //make sure that the basic authentication header is always required
        http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);

        //set the correct authentication entry point to make sure the 401 response is in JSON format
        http.exceptionHandling().authenticationEntryPoint(new AuthenticationEntryPoint());

        //enable http basic authentication
        http.httpBasic();

        //make sure authentication is required for all requests except /actuator/info
        http.authorizeRequests().antMatchers("/actuator/info").permitAll().anyRequest().authenticated();
        http.authorizeRequests().antMatchers("/actuator/**").hasAnyRole("MONITOR", "ACTUATOR");

        //disable the form login since this is a REST API
        http.formLogin().disable();

        //disable csrf since this is a REST API
        http.csrf().disable();
    }
}

• 禁用oAuth（和cors）登录，因为它似乎也很慢https://github.com/spring-projects/spring-security-oauth/issues/943
• 提供一个UserDetailsService bean，而不是配置AuthenticationManagerBuilder https://github.com/spring-projects/spring-boot/wiki/spring-boot-security-2.0#changing-the-username-and-password

我能做些什么来加快身份验证筛选器吗？

Answer 1

bcrypt是一个故意缓慢的散列函数。当谈到密码散列时，这种缓慢听起来很矛盾，但这并不是因为好人和坏人都慢了下来。如今，大多数密码攻击都是暴力字典攻击的变体。这意味着攻击者会像好人一样通过散列来尝试很多很多候选密码。如果有匹配项，则密码已被破解。

然而，如果坏人每次尝试都被放慢速度，当数百万次尝试时，这种速度就会放大，通常会挫败攻击。然而，当他们试图登录时，好人可能不会注意到一次尝试。

因此，brypt编码器中额外的200ms处理时间基本上是有意的，也是安全性的一部分，通过加速它（比如使用缓存），您降低了应用程序的安全级别。