sal Spring Security para DetallesUsuario personalizados

Question

me gustaría añadir sal como:

PasswordEncoder encoder = new ShaPasswordEncoder(); 
     userDetails.setPassword(encoder.encodePassword(userDetails.getPassword(),saltSource.getSalt(userDetails)); 

en la medida de userDetails es ejemplo de mi clase personalizada UserDetail, i obligado a echarlo a esta clase de primavera: UserDetails , sino como se espera lógicamente que me dieron en tiempo de ejecución:

java.lang.ClassCastException: model.UserDetails cannot be cast to org.springframework.security.core.userdetails.UserDetails 

config:

<beans:bean id="saultSource" class="org.springframework.security.authentication.dao.ReflectionSaltSource"> 
     <beans:property name="userPropertyToUse" value="username"/> 
</beans:bean> 

<authentication-manager alias="authenticationManager"> 
<authentication-provider> 
<password-encoder hash="sha"> 
    <salt-source user-property="username"/> 
</password-encoder> 
    <jdbc-user-service data-source-ref="dataSource"/> 
</authentication-provider> 
</authentication-manager> 

¿Cómo puedo configurar sal correctamente en este caso?

Answer 1

ReflectionSaltSource sólo funciona con un objeto UserDetails (estoy asumiendo que es donde se obtiene la excepción de difusión de clase?), Por lo que tendría que poner en práctica ya sea UserDetails o crear su propio SaltSource aplicación que funciona con su objeto.

Sin embargo, no utilizaría una propiedad del usuario como la sal a menos que esté trabajando con un sistema heredado que ya lo hace. El nombre de usuario no es un muy buen valor de sal. Es mucho mejor usar una sal aleatoria almacenada con la contraseña. Un buen ejemplo es el algoritmo BCrypt. Vea mi respuesta al this question para ver un ejemplo de cómo usarlo con Spring Security 3.1. Como se explica allí, BCrypt genera automáticamente una sal aleatoria que almacena en la misma cadena que la contraseña hash.

Tenga en cuenta que en realidad hay una nueva interfaz PasswordEncoder en el paquete "crypto" de Spring Security 3.1 (en org.springframework.security.crypto.password). Esto no incluye una sal en el API methods, ya que supone que la sal se genera internamente (como ocurre con la implementación de BCrypt). El marco generalmente aceptará uno de estos o el legado org.springframework.security.authentication.encoding.PasswordEncoder.

Answer 2

Su clase model.UserDetails debe implementar la interfazorg.springframework.security.core.userdetails.UserDetails- no tiene por qué ser una clase org.springframework.security.core.userdetails.User.

También puede echar un vistazo a this answer para ver cómo configurar un ReflectionSaltSource tanto para codificar y decodificar contraseñas, o ayudarle a obtener la imagen más grande para seguir gran punta de Lucas en BCryptPasswordEncoder.

Answer 3

He escrito una publicación en el blog sobre algunos de estos detalles aquí: http://rtimothy.tumblr.com/post/26527448708/spring-3-1-security-and-salting-passwords Luke escribió el código así que ciertamente sabe de lo que está hablando, pero veo que varias personas, entre ellas yo, tenemos dificultades para obtener esta información, con suerte, eso me ayudará.