在spring security3中使用自定义的MD5和salt进行加密

首先看代码：

	<authentication-manager alias="authenticationManager">
		<authentication-provider user-service-ref="myUserDetailsService">
			<password-encoder ref="myPasswordEncode">
				<salt-source user-property="salt"/>
			</password-encoder>
		</authentication-provider>
	</authentication-manager>

	<beans:bean id="myPasswordEncode" class="pw.bany.security.MyPasswordEncode">
		<beans:constructor-arg name="encode" value="md5"></beans:constructor-arg>
	</beans:bean>

如果我们要自己控制密码权限的验证，可以在配置中使用<password-encoder ref="myPasswordEncode">来指定自己的密码验证类，该类继承自MessageDigestPasswordEncoder。需要我们复写了public boolean isPasswordValid(String savePass, String submitPass, Object salt)方法，如果返回true，表示验证通过。上面代码还为MyPasswordEncode传入encode属性，来设置MyPasswordEncode中encode（本文下面的代码没有用到）。这样在isPasswordValid就可以用到需要加密的算法。isPasswordValid中savePass为数据库中加密保存的密码，submitPass为用户登录时提交的明文密码。 

	@Override
	// 如果返回true，则验证通过。
	public boolean isPasswordValid(String savePass, String submitPass,
			Object salt) {
		return savePass.equalsIgnoreCase(Util.MD5WithSalt(submitPass,
				salt.toString()));
	}

Util.MD5WithSalt(submitPass,salt.toString())，是我们的加密方法，此处没贴出源码，网上很多。这里的salt需要特别注意一下，怎么才能把数据库中的salt传过来的问题。

上面配置中使用了<salt-source user-property="salt"/>来指定salt，但是系统是怎么知道在数据库中的salt字段呢？其实这里实际上是指定了org.springframework.security.core.userdetails.User中的一个属性，但是这个类中并没有这个属性，此时，需要我们重写这个类，为该类加入salt属性。

package pw.bany.security;
 
import java.util.Collection;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.userdetails.User;
 
public class SaltedUser extends User {
 
	private String salt;
 
	public SaltedUser(String username, String password, boolean enabled,
			boolean accountNonExpired, boolean credentialsNonExpired,
			boolean accountNonLocked,
			Collection<? extends GrantedAuthority> authorities, String salt) {
		super(username, password, enabled, accountNonExpired,
				credentialsNonExpired, accountNonLocked, authorities);
		this.salt = salt;
	}
 
	public String getSalt() {
		return salt;
	}
 
	public void setSalt(String salt) {
		this.salt = salt;
	}
 
}

完成这里之后，还是不够的，因为重载的类只是有了这个属性，但是还是不知道如何从数据库中获取。要做到这个其实很简单，我们只需要修改myUserDetailsService中loadUserByUsername的返回值：

@Override
	public UserDetails loadUserByUsername(String username)
			throws UsernameNotFoundException {
		Collection<GrantedAuthority> auths = new ArrayList<GrantedAuthority>();
		User user = null;
		try {
			user = userDao.getUserByName(username);
			if (user == null)
				throw new UsernameNotFoundException("用户" + username + "不存在!");
			List<String> rolenames = userDao.loadRolesByUserName(username);
			System.err.println("用户拥有角色有:");
			for (String rolename : rolenames) {
				SimpleGrantedAuthority authority = new SimpleGrantedAuthority(
						rolename);
				auths.add(authority);
				System.err.println(rolenames);
			}
		} catch (Exception e) {
			e.printStackTrace();
		}
		System.err.println(auths.size());
		boolean isEnabled = true;
		boolean accountNonExpired = true;
		boolean credentialsNonExpired = true;
		boolean accountNonLocked = true;
 
		if (!user.getStatus().equalsIgnoreCase("enabled")) {
			isEnabled = false;
		}
 
		return new SaltedUser(user.getUsername(), user.getPassword(),
				isEnabled, accountNonExpired, credentialsNonExpired,
				accountNonLocked, auths, user.getSalt());
	}

如上面红色代码部分，一看便知。
 

原文地址:https://blog.csdn.net/zavens/article/details/17165833