升级Spring Security PasswordEncoder

Question

import org.springframework.security.authentication.encoding.PasswordEncoder;

    @Override
    public String encodePassword(String plainPassword, Object salt) {
        final String finalSalt = salt != null ? salt.toString() : "";
        return DigestUtils.md5Hex(finalSalt + plainPassword);
    }

    @Override
    public boolean isPasswordValid(String encodedPassword, String plainPassword, Object salt) {
        final String enteredPassword = encodePassword(plainPassword, salt);
        return encodedPassword.equals(enteredPassword);
    }

import org.springframework.security.crypto.password.PasswordEncoder;

    @Override
    public String encode(CharSequence rawPassword) {
      final String finalSalt = salt != null ? salt.toString() : "";
      return DigestUtils.md5Hex(finalSalt + plainPassword);
    }

    @Override
    public boolean matches(CharSequence rawPassword, String encodedPassword) {
       final String enteredPassword = encodePassword(plainPassword, salt);
       return encodedPassword.equals(enteredPassword);
    }

null

Answer 1

新方法期望salt是编码口令的一部分。根据passwordencoder.encoder()Javadoc:

对原始密码进行编码。通常，好的编码算法应用SHA-1或更大的散列与8字节或更大的随机生成的SALT组合。

如果您查看这个答案，它显示了bcryptpasswordencoder如何在编码密码中编码salt。这里将解释实际的BCrypt编码密码格式。