Spring Security Encrypt MD5

Question

J'ai une application Web java utilisant un cadre à ressort et un ressort de sécurité pour sa connexion. Dans ma base de données, mes mots de passe sont cryptés sur MD5 avant d'être sauvegardés. J'ai ajouté dans ma demande-config.xml ce code

<security:authentication-provider> 
<security:password-encoder hash="md5"/> 
<security:jdbc-user-service 
     data-source-ref="dataSource" 
     users-by-username-query="select user_name username, user_password password, 1 enabled from users where user_name=?" 
     authorities-by-username-query="select username, authority from authorities where username=?" /> 
</security:authentication-provider> 

Au début, il a travaillé lorsque le mot de passe dans le db n'a pas été chiffré. Mais quand je l'ai crypté et ajouté cet extrait dans ma configuration d'application

 <security:password-encoder hash="md5"/> 

Je ne peux pas me connecter.

Answer 1

Comment créez-vous vos hachages MD5? Quelque chose comme les œuvres suivantes bien en Java:

MessageDigest messageDigest = MessageDigest.getInstance("MD5"); 
messageDigest.update(user.getPassword().getBytes(),0, user.getPassword().length()); 
String hashedPass = new BigInteger(1,messageDigest.digest()).toString(16); 
if (hashedPass.length() < 32) { 
    hashedPass = "0" + hashedPass; 
} 

Lorsque vous codez « koala » vous obtenez « a564de63c2d0da68cf47586ee05984d7 »?

Answer 2

Avez-vous lu la section 6.3.3 Hashing and Authentication du manuel de référence de Spring Security? Il a mentionné quelques problèmes possibles que vous pourriez rencontrer lors de l'utilisation du hachage par mot de passe.

Quelques possibilités qu'il énumère:

• Base de données de hachage de mot de passe est peut-être en base64, alors que le résultat de MD5PasswordEncoder est dans les chaînes hexadécimaux
• Votre hachage de mot de passe est peut-être en majuscules, alors que le résultat de la l'encodeur est en minuscules

Answer 3

Je me rends compte que c'est un peu tard, mais Spring a des classes intégrées qui facilitent beaucoup la tâche.

@Test 
public void testSpringEncoder() { 
    PasswordEncoder encoder = new Md5PasswordEncoder(); 
    String hashedPass = encoder.encodePassword("koala", null); 

    assertEquals("a564de63c2d0da68cf47586ee05984d7", hashedPass); 
} 

Ceci est un test de l'unité que je l'ai écrit en utilisant le haut dans le code de sécurité du printemps, il est beaucoup plus petit que le code MessageDigest et puisque vous utilisez Spring Security déjà, vous devriez avoir les classes dans votre classpath déjà .