कस्टम UserDetails के लिए स्प्रिंग सुरक्षा नमक

Question

मैं चाहूँगा की तरह नमक जोड़ने के लिए:

PasswordEncoder encoder = new ShaPasswordEncoder(); 
     userDetails.setPassword(encoder.encodePassword(userDetails.getPassword(),saltSource.getSalt(userDetails)); 

जहाँ तक userDetails अपने कस्टम UserDetail वर्ग के उदाहरण, मैं इस वसंत वर्ग के लिए यह कास्ट करने के लिए बाध्य है: UserDetails , लेकिन जैसा कि यह तार्किक उम्मीद है मैं क्रम में मिला:

java.lang.ClassCastException: model.UserDetails cannot be cast to org.springframework.security.core.userdetails.UserDetails 

config:

<beans:bean id="saultSource" class="org.springframework.security.authentication.dao.ReflectionSaltSource"> 
     <beans:property name="userPropertyToUse" value="username"/> 
</beans:bean> 

<authentication-manager alias="authenticationManager"> 
<authentication-provider> 
<password-encoder hash="sha"> 
    <salt-source user-property="username"/> 
</password-encoder> 
    <jdbc-user-service data-source-ref="dataSource"/> 
</authentication-provider> 
</authentication-manager> 

मैं इस मामले में नमक को सही तरीके से कैसे कॉन्फ़िगर कर सकता हूं?

Answer 1

ReflectionSaltSource केवल एक UserDetails वस्तु (मुझे लगता है कि जहां वर्ग के कलाकारों अपवाद मिलता है यह सोचते हैं रहा हूँ?) के साथ काम करता है ताकि आपको यह या तो UserDetails लागू करने या अपने खुद के SaltSource कार्यान्वयन जो अपने उद्देश्य के साथ काम करता है पैदा करेगा।

हालांकि, मैं उपयोगकर्ता की संपत्ति का उपयोग नमक के रूप में नहीं करता जबतक कि आप एक विरासत प्रणाली के साथ काम नहीं कर रहे हैं जो पहले से ही ऐसा करता है। उपयोगकर्ता नाम बहुत अच्छा नमक मूल्य नहीं है। पासवर्ड के साथ संग्रहीत एक यादृच्छिक नमक का उपयोग करना बेहतर है। एक अच्छा उदाहरण बीसीआरपीटी एल्गोरिदम है। वसंत सुरक्षा 3.1 के साथ इसका उपयोग करने के उदाहरण के लिए this question पर मेरा उत्तर देखें। जैसा कि समझाया गया है, बीक्रिप्ट स्वचालित रूप से एक यादृच्छिक नमक उत्पन्न करता है जो इसे उसी स्ट्रिंग में रखता है जो हैश पासवर्ड के रूप में होता है।

ध्यान दें कि वास्तव में वसंत सुरक्षा 3.1 "क्रिप्टो" पैकेज (org.springframework.security.crypto.password में) में एक नया PasswordEncoder इंटरफ़ेस है। इसमें API methods में नमक शामिल नहीं है, क्योंकि यह मानता है कि नमक आंतरिक रूप से उत्पन्न होता है (क्योंकि यह बीसीआरटीपी कार्यान्वयन के साथ है)। ढांचा आम तौर पर इनमें से एक या विरासत org.springframework.security.authentication.encoding.PasswordEncoder स्वीकार करेगा।

Answer 2

आपका model.UserDetails वर्ग इंटरफ़ेसorg.springframework.security.core.userdetails.UserDetails को लागू करना चाहिए - यह एक वर्गorg.springframework.security.core.userdetails.User होने की जरूरत नहीं है।

तुम भी this answer पर एक नज़र कैसे दोनों एन्कोडिंग और डिकोडिंग पासवर्ड के लिए एक ReflectionSaltSource स्थापित करने के लिए देखते हैं, या मदद आप बड़ी तस्वीर BCryptPasswordEncoder पर ल्यूक के महान टिप का पालन करने के लिए हो सकता है।

Answer 3

मैं इन जानकारी यहां से कुछ के बारे में एक ब्लॉग पोस्ट में लिखा है: http://rtimothy.tumblr.com/post/26527448708/spring-3-1-security-and-salting-passwords ल्यूक कोड लिखा था तो वह निश्चित रूप से जानते हैं कि वह किस बारे में बात कर रहा है, लेकिन मैं खुद को एक कठिन समय इस जानकारी groking होने सहित कई लोगों से देखते हैं, उम्मीद है कि मदद मिलेगी।