Spring Security 5: ไม่มีการแมป PasswordEncoder สำหรับ id null

เมื่อคุณกำหนดค่า ClientDetailsServiceConfigurer คุณจะต้องใช้ รูปแบบการจัดเก็บรหัสผ่านไปยังรหัสลับไคลเอ็นต์

.secret("{noop}secret")

เพิ่ม .password("{noop}password") ลงในไฟล์กำหนดค่าความปลอดภัย

ตัวอย่างเช่น :

auth.inMemoryAuthentication()
        .withUser("admin").roles("ADMIN").password("{noop}password");

สำหรับใครก็ตามที่ประสบปัญหาเดียวกันและไม่ต้องการโซลูชันที่ปลอดภัย - สำหรับการทดสอบและแก้ไขข้อบกพร่องเป็นหลัก - ผู้ใช้ในหน่วยความจำยังสามารถกำหนดค่าได้

นี่เป็นเพียงการเล่นเท่านั้น ไม่มีสถานการณ์ในโลกแห่งความเป็นจริง

แนวทางที่ใช้ด้านล่างนี้เลิกใช้แล้ว

นี่คือที่ฉันได้รับมาจาก:

• แหล่งที่มา
• ข้อมูลอ้างอิง ยังได้กล่าวถึงในแหล่งที่มาข้างต้น

ภายใน WebSecurityConfigurerAdapter ของคุณให้เพิ่มสิ่งต่อไปนี้:

@SuppressWarnings("deprecation")
@Bean
public static NoOpPasswordEncoder passwordEncoder() {
return (NoOpPasswordEncoder) NoOpPasswordEncoder.getInstance();
}

เห็นได้ชัดว่ารหัสผ่านถูกแฮช แต่ยังคงมีอยู่ในหน่วยความจำ

แน่นอน คุณสามารถใช้ PasswordEncoder จริงเช่น BCryptPasswordEncoder และนำหน้ารหัสผ่านด้วยรหัสที่ถูกต้อง:

// Create an encoder with strength 16
BCryptPasswordEncoder encoder = new BCryptPasswordEncoder(16);
String result = encoder.encode("myPassword");
assertTrue(encoder.matches("myPassword", result));

ไม่รู้ว่านี่จะช่วยใครได้บ้าง รหัส WebSecurityConfigurer และ OAuth2Config ที่ทำงานของฉันดังต่อไปนี้:

ไฟล์ OAuth2Config:

package com.crown.AuthenticationServer.security;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.oauth2.config.annotation.configurers.ClientDetailsServiceConfigurer;
import org.springframework.security.oauth2.config.annotation.web.configuration.AuthorizationServerConfigurerAdapter;
import org.springframework.security.oauth2.config.annotation.web.configurers.AuthorizationServerEndpointsConfigurer;

@Configuration
public class OAuth2Config extends AuthorizationServerConfigurerAdapter {

    @Autowired
    private AuthenticationManager authenticationManager;

    @Autowired
    private UserDetailsService userDetailsService;

    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        clients.inMemory()
            .withClient("crown")
            .secret("{noop}thisissecret")
            .authorizedGrantTypes("refresh_token", "password", "client_credentials")
            .scopes("webclient", "mobileclient");
    }

    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        endpoints
            .authenticationManager(authenticationManager)
            .userDetailsService(userDetailsService);
    }
}

ตัวกำหนดค่าความปลอดภัยเว็บ:

package com.crown.AuthenticationServer.security;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.crypto.factory.PasswordEncoderFactories;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.provisioning.InMemoryUserDetailsManager;


@Configuration
public class WebSecurityConfigurer extends WebSecurityConfigurerAdapter {

    @Override
    @Bean
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }

    @Bean
    @Override
    public UserDetailsService userDetailsService() {

        PasswordEncoder encoder = PasswordEncoderFactories.createDelegatingPasswordEncoder();

        final User.UserBuilder userBuilder = User.builder().passwordEncoder(encoder::encode);
        UserDetails user = userBuilder
            .username("john.carnell")
            .password("password")
            .roles("USER")
            .build();

        UserDetails admin = userBuilder
            .username("william.woodward")
            .password("password")
            .roles("USER","ADMIN")
            .build();

        return new InMemoryUserDetailsManager(user, admin);
    }

}

นี่คือลิงก์ไปยังโปรเจ็กต์: springboot-authorization-server-oauth2

เมื่อใดก็ตามที่ Spring เก็บรหัสผ่าน มันจะใส่คำนำหน้าของตัวเข้ารหัสในรหัสผ่านที่เข้ารหัส เช่น bcrypt, scrypt, pbkdf2 เป็นต้น เพื่อที่ว่าเมื่อถึงเวลาถอดรหัสรหัสผ่าน ก็สามารถใช้ตัวเข้ารหัสที่เหมาะสมในการถอดรหัสได้ หากไม่มีคำนำหน้าในรหัสผ่านที่เข้ารหัส ระบบจะใช้ defaultPasswordEncoderForMatches คุณสามารถดูวิธีการจับคู่ของ DelegatingPasswordEncoder.class เพื่อดูวิธีการทำงาน โดยพื้นฐานแล้วเราจำเป็นต้องตั้งค่า defaultPasswordEncoderForMatches ตามบรรทัดต่อไปนี้

@Bean(name="myPasswordEncoder")
public PasswordEncoder getPasswordEncoder() {
        DelegatingPasswordEncoder delPasswordEncoder=  (DelegatingPasswordEncoder)PasswordEncoderFactories.createDelegatingPasswordEncoder();
        BCryptPasswordEncoder bcryptPasswordEncoder =new BCryptPasswordEncoder();
    delPasswordEncoder.setDefaultPasswordEncoderForMatches(bcryptPasswordEncoder);
    return delPasswordEncoder;      
}

ตอนนี้ คุณอาจต้องจัดเตรียม DefaultPasswordEncoderForMatches ให้กับผู้ให้บริการตรวจสอบสิทธิ์ของคุณด้วย ฉันทำอย่างนั้นด้วยบรรทัดด้านล่างในคลาส config ของฉัน

@Bean
    @Autowired  
    public DaoAuthenticationProvider getDaoAuthenticationProvider(@Qualifier("myPasswordEncoder") PasswordEncoder passwordEncoder, UserDetailsService userDetailsServiceJDBC) {
        DaoAuthenticationProvider daoAuthenticationProvider = new DaoAuthenticationProvider();
        daoAuthenticationProvider.setPasswordEncoder(passwordEncoder);
        daoAuthenticationProvider.setUserDetailsService(userDetailsServiceJDBC);
        return daoAuthenticationProvider;
    }

หากคุณกำลังดึงชื่อผู้ใช้และรหัสผ่านจากฐานข้อมูล คุณสามารถใช้โค้ดด้านล่างเพื่อเพิ่มอินสแตนซ์ NoOpPassword

protected void configure(AuthenticationManagerBuilder auth) throws Exception {
   auth.userDetailsService(adm).passwordEncoder(NoOpPasswordEncoder.getInstance());
}

โดยที่ adm เป็นวัตถุผู้ใช้ที่กำหนดเองสำหรับโครงการของฉันซึ่งมีเมธอด getPassword() และ getUsername()

นอกจากนี้ โปรดจำไว้ว่า หากต้องการสร้าง User POJO แบบกำหนดเอง คุณจะต้องใช้อินเทอร์เฟซ UserDetails และใช้วิธีการทั้งหมด

หวังว่านี่จะช่วยได้

คุณสามารถอ่าน ได้ใน เอกสาร Spring Security อย่างเป็นทางการ ซึ่งสำหรับ DelegatingPasswordEncoder รูปแบบทั่วไปของรหัสผ่านคือ: {id}encodedPassword

รหัสดังกล่าวเป็นตัวระบุที่ใช้ค้นหาว่าควรใช้ PasswordEncoder ใด และ encodedPassword เป็นรหัสผ่านที่เข้ารหัสดั้งเดิมสำหรับ PasswordEncoder ที่เลือก รหัสจะต้องอยู่ที่จุดเริ่มต้นของรหัสผ่าน โดยขึ้นต้นด้วย { และลงท้ายด้วย } หากไม่พบ ID ID จะเป็นโมฆะ ตัวอย่างเช่น รายการต่อไปนี้อาจเป็นรายการรหัสผ่านที่เข้ารหัสโดยใช้ ID อื่น รหัสผ่านเดิมทั้งหมดคือ "รหัสผ่าน"

ตัวอย่างรหัสคือ:

{bcrypt}$2a$10$dXJ3SW6G7P50lGmMkkmwe.20cQQubK3.HZWzG3YB1tlRy.fqvM/BG {noop}รหัสผ่าน {pbkdf2}5d923b44a6d129f3ddf3e3c8d29412723dcbde724 45e8ef6bf3b508fbf17fa4ed4d6b99ca763d8dc {การเข้ารหัส}$e0801 $8bWJaSu2IKSn9Z9kM+TPXfOc/9bdYSrN1oD9qfVThWEwdRTnO7re7Ei+fUZRJ68k9lTyuTeUp4of4g24hHnazw==$OAOec05+bXxvuu/1qZ6NUR+xQYvYv7BeL1QxwRpY5Pc=
{sha256}97cde38028ad898ebc02e690819fa220e88c62e0699403e94fff291cfffaf8410849f27605abcbc0

เกี่ยวกับ

รหัสผ่านที่เข้ารหัสดูไม่เหมือน BCrypt

ในกรณีของฉัน มีความไม่ตรงกันในความแข็งแกร่งของ BCryptPasswordEncoder ที่ใช้โดยตัวสร้างเริ่มต้น (10) เนื่องจาก pwd hash ถูกสร้างขึ้นด้วยความแข็งแกร่ง 4 ดังนั้นฉันจึงได้กำหนดความแข็งแกร่งไว้อย่างชัดเจน

@Bean
public BCryptPasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder(4);
}

Spring Security ของฉันคือเวอร์ชัน 5.1.6 และทำงานได้อย่างสมบูรณ์แบบกับ BCryptPasswordEncoder