Spring security实现对账户进行加密
一、原理分析1.1加密原理
首先前端页面发送注册的账户信息到controller层,然后依次经过service层和dao层，最后入库。其中对密码的加密应该放在service层进行，加密后再入库。
spring security中有一个加密类BCryptPasswordEncoder可以用来对密码进行加密,调用其中的encode方法返回一个加密后的字符串
public String encode(CharSequence rawPassword) {
String salt;
if (strength > 0) {
if (random != null) {
salt = BCrypt.gensalt(strength, random);
}
else {
salt = BCrypt.gensalt(strength);
}
}
else {
salt = BCrypt.gensalt();
}
return BCrypt.hashpw(rawPassword.toString(), salt);
}
使用时可以在spring的配置文件中配置一个加密类的bean,这样在service中可以直接注入
加密后数据库中存储的是加密过后的字符串。
1.2加密后的登录过程
对密码进行加密后数据库中存储的是加密字符串，用户发起登录请求后，框架会使用相同的加密算法对前端传递的密码进行加密并得到加密字符串，然后和数据库中查询到的字符串进行对比。
二、代码实现
具体的工程代码可以参考我的工程示例,下文中只给出了和添加用户相关的部分。
在配置文件中配置加密类
<bean id="passwordEncoder" class="org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder"> </bean>
2.1添加用户的页面如下, register.html
<html>
<head>
<meta charset="UTF-8">
<title>注册页面</title>
</head>
<body>
<form action="/user/add.do" method="post">
用户名:<input type="text" name="username" placeholder="请输入用户名"><br>
密 码:<input type="password" name="password" placeholder="请输入密码"><br>
<input type="submit" value="注册">
</form>
</body>
</html>
2.2controller层创建一个增加用户的方法
@RestController
@RequestMapping("/user")
public class UserController {
@Autowired
private IUserService userService;
@PostMapping("/add")
public String add(UserInfo userInfo){
userService.add(userInfo);
return "success";
}
}
2.3service层
@Autowired
private BCryptPasswordEncoder passwordEncoder;
...//省略其他
@Override
public void add(UserInfo userInfo) {
//对密码加密
userInfo.setPassword(passwordEncoder.encode(userInfo.getPassword()));
userDao.add(userInfo);
}
这里的passwordEncoder就是在配置文件中配置的加密bean,注入后可以直接使用
dao层这里就不再列举了。
三、测试
启动工程并成功登录后,跳转到首页,
选择注册新账号后跳转到注册页面
输入账户和密码后注册，会在数据库中插入一条新的记录。
这里我页面上输入的是 admin/admin,数据库中存储的password是加密后的
$2a$10$URSaaafrPOCjFYvhrhQbku2/l36IJ0zH0G8xeJzf5lAH2F1JJ1ybG
四、用加密后的账号登录
此时如果使用刚刚新建的这个账号进行登录就会登录失败。因为我们并没有配置spring security认证时的加密方式，默认是不进行加密，所以会直接将前台输入的密码和数据库中的加密字符串进行比较。
要使用这个账号登录还需要进行如下配置
在spring security的配置文件中配置加密策略
<security:authentication-manager>
<!--配置使用给定的userservice完成认证-->
<security:authentication-provider user-service-ref="userService">
<security:password-encoder ref="passwordEncoder"/>
</security:authentication-provider>
</security:authentication-manager>
<bean id="passwordEncoder" class="org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder">
</bean>
在userService的loadUserByUsername方法中去除密码字符串上拼接的{noop}字符串，本来这个就是为了适配密码未加密的情况
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
UserInfo userInfo = userDao.findByUsername(username);
User user=new User(userInfo.getUsername(),userInfo.getPassword(),getRoles());
return user;
}
然后使用刚才注册的 admin/admin就可以登录成功了。
注意如果进行了上面两部，数据库中以前的账户将不能进行登录了，因为数据库中的密码是没有加密的，而框架会对前台传递的密码进行加密后再和数据库中的比较。所以一定要记住上面新注册的这个账号admin/admin
这里我给出admin对应的加密字符串
$2a$10$URSaaafrPOCjFYvhrhQbku2/l36IJ0zH0G8xeJzf5lAH2F1JJ1ybG
如果大家忘记了刚才注册的账号，可以在数据库中插入一条admin/admin的记录。
五、总结
添加账户主要是需要用spring security自带的加密类BCryptPasswordEncoder对用户密码进行加密。
要使用新注册的账户登录就需要在配置文件中配置加密策略
配置后原来的账号因为密码没有加密将不能使用
六、示例工程源码
示例工程已经上传到码云上，如果有需要欢迎大家参考
以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持脚本之家。
相关文章
SpringBoot整合Vue实现微信扫码支付以及微信退款功能详解
最近公司要在微信公众号上做一个活动预报名,活动的门票等需要在微信中支付,下面这篇文章主要给大家介绍了关于SpringBoot整合Vue实现微信扫码支付以及微信退款功能的相关资料,需要的朋友可以参考下2022-05-05
本文给大家总结了UML类图中几种比较常用的关系小总结，需要的朋友可以参考下2015-10-10
Spring Boot整合ElasticSearch实现多版本兼容的方法详解
简单说，ElasticSearch（简称 ES）是搜索引擎，是结构化数据的分布式搜索引擎。下面这篇文章主要给大家介绍了关于Spring Boot整合ElasticSearch实现多版本兼容的相关资料，需要的朋友可以参考借鉴，下面来一起看看吧2018-05-05
这篇文章主要介绍了mybatis if test条件判断语句中的判断问题，具有很好的参考价值，希望对大家有所帮助。如有错误或未考虑完全的地方，望不吝赐教2022-03-03
详解mybatis plus使用insert没有返回主键的处理
这篇文章主要介绍了详解mybatis plus使用insert没有返回主键的处理，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧2020-09-09
在Spring Boot中,依赖注入是一项关键的特性,它通过容器来管理和注入应用程序中的各种组件,本文介绍SpringBoot依赖注入的详细介绍、使用技巧,感兴趣的朋友一起看看吧2024-01-01
这篇文章主要介绍了Java多线程之同步工具类Exchanger，Exchanger 是一个用于线程间协作的工具类，Exchanger用于进行线程间的数据交换，它提供一个同步点，在这个同步点，两个线程可以交换彼此的数据，下面来看看具体内容吧2021-10-10
在Java中使用Lombok库的@Data注解时,布尔类型属性可能导致生成的get方法不符合预期,对于非is开头的布尔属性,Lombok生成的方法会添加is前缀,导致原本期待的get方法不存在,例如,对于属性private boolean active,Lombok会生成方法名为isActive而不是getActive2024-10-10
Java启动命令是所有java应用程序的入口,通过它来启动Java运行时环境,并加载相关的class,本文希望做一个Java启动命令的汇总,和各位同道分享,也便于日后作为自己的参考2023-09-09
这篇文章主要介绍了springboot配置文件读取pom文件信息方式，具有很好的参考价值，希望对大家有所帮助。如有错误或未考虑完全的地方，望不吝赐教2022-02-02
最新评论