0

Я храню пароли юзеров в базе в зашифрованном виде - SHA256. Использую Basic auth и чтобы сейчас пройти авторизацию, я должен передавать пароль на контроллер тоже в SHA256. Можно ли как то переопределить SecurityConfig, чтобы пользователь мог передать пароль в исходном виде, но под капотом произошло шифрование этого пароля, и Spring сравнил этот зашифрованный пароль с зашифрованным паролем из базы?

Текущая реализация SecurityConfig:

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    private final UserService userService;

    public SecurityConfig(UserService userService) {
        this.userService = userService;
    }

    @Bean
    @Override
    public UserDetailsService userDetailsService() {
        InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
        userService.getUsers().forEach(user -> manager.createUser(createUserDetails(user.getUserName(), user.getPassword())));
        return manager;
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .csrf().disable()
                .authorizeRequests()
                .requestMatchers(EndpointRequest.toAnyEndpoint()).permitAll()
                .anyRequest().authenticated()
                .and().httpBasic();
    }

    private UserDetails createUserDetails(String username, String password) {
        return User.withUsername(username)
                .password(encodePassword(password))
                .roles("USER")
                .build();
    }

    private String encodePassword(String vaultPassword) {
        PasswordEncoder encoder = PasswordEncoderFactories.createDelegatingPasswordEncoder();
        return encoder.encode(vaultPassword);
    }
}

UPD: новая версия конфигурации:

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    private final UserService userService;

    public SecurityConfig(UserService userService) {
        this.userService = userService;
    }

    @Bean
    @Override
    public UserDetailsService userDetailsService() {
        InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
        userService.getUsers().forEach(user -> manager.createUser(createUserDetails(user.getUserName(), user.getPassword())));
        return manager;
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .csrf().disable()
                .authorizeRequests()
                .requestMatchers(EndpointRequest.toAnyEndpoint()).permitAll()
                .anyRequest().authenticated()
                .and().httpBasic();
    }

    private UserDetails createUserDetails(String username, String password) {
        return User.withUsername(username)
                .password(passwordEncoder().encode(password))
                .roles("USER")
                .build();
    }

    @Bean
    public DaoAuthenticationProvider daoAuthenticationProvider(UserDetailsService userDetailsService, PasswordEncoder passwordEncoder) {
        DaoAuthenticationProvider authProvider = new DaoAuthenticationProvider();
        authProvider.setUserDetailsService(userDetailsService);
        authProvider.setPasswordEncoder(passwordEncoder);
        return authProvider;
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return PasswordEncoderFactories.createDelegatingPasswordEncoder();
    }
}

1 ответ 1

1

Да, можно.

За такое поведение отвечает PasswordEncoder. Логика работы примерно такая:

  1. Пароль приходит в открытом виде;
  2. Spring Security определяет AuthenticationProvider, который ответственнен за аутентификацию пользователя для данного метода API. В Вашем случае это DaoAuthenticationProvider;
  3. DaoAuthenticationProvider шифрует пароль с помощью PasswordEncoder и делегирует поиск пользователя экземпляру UserDetailsService;
  4. UserDetailsService ищет пользователя по имени и зашифрованному паролю в БД;

Все, что нужно для этого сделать - объявить бин PasswordEncoder, например, так:

    @Bean
    private PasswordEncoder passwordEncoder() {
      return PasswordEncoderFactories.createDelegatingPasswordEncoder();
    }
12
  • Спасибо, попробовал изменить конфигурацию (обновления выше), но получаю 401 14 июл 2021 в 14:08
  • в постман передаю пароль в виде "test", в базе он хранится в sha256 - "9f86d081884c7d659a2feaa0c55ad015a3bf4f1b2b0b822cd15d6c15b0f00a08" 14 июл 2021 в 14:09
  • но если передать его в постман в зашифрованном виде, то запрос проходит 14 июл 2021 в 14:44
  • DaoAuthenticationProvider как bean явно объявлять не надо, он создается под капотом Spring Security. Объявленный напрямую как bean, AuthenticationProvider не попадает в контекст AuthenticationManager-а Spring Security. Вообщем, просто удалите его
    – tequillaz
    14 июл 2021 в 14:51
  • удалил bean, все равно 401, я так понимаю, что spring шифрует входящий пароль, но также шифрует и уже зашифрованный в sha256 пароль из базы, и в итоге сравнивает два разных результата. А я хотел бы, что спринг перевел входящий пароль в sha256 и сравнил его с паролем из базы, который уже хранится в sha256 14 июл 2021 в 14:58

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.