1

我正在开发基于 Spring 的应用程序，并且正在使用 Spring Security 3.1.3。每次我尝试进行身份验证时，身份验证都不会成功。这是我的security-config.xml：

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:security="http://www.springframework.org/schema/security"
xsi:schemaLocation="
http://www.springframework.org/schema/beans
http://www.springframework.org/schema/spring-beans.xsd
http://www.springframework.org/schema/security
http://www.springframework.org/schema/security/spring-security.xsd">

<security:http auto-config="true">
<security:form-login login-page="/app/main"
default-target-url="/app/account" />
<security:logout logout-url="/app/logout"
logout-success-url="/app/main" />
</security:http>

<bean id="passwordEncoder"
class="org.springframework.security.crypto.bcrypt. BCryptPasswordEncoder" />

<security:authentication-manager alias="authenticationManager">
<security:authentication-provider
user-service-ref="userService" >
<security:password-encoder ref="passwordEncoder"/>
</security:authentication-provider>
</security:authentication-manager>

<bean id="daoAuthenticationProvider"
class="org.springframework.security.authentication .dao.DaoAuthenticationProvider">
<property name="userDetailsService" ref="userService" />
<property name="hideUserNotFoundExceptions" value="false" />
</bean>

<bean id="authenticationManager"
class="org.springframework.security.authentication .ProviderManager">
<constructor-arg>
<ref local="daoAuthenticationProvider" />
</constructor-arg>
</bean>


</beans>

在我的 bean 的密码设置方法中，我使用 BCryptPasswordEncoder，如下所示：

public void setPassword(String password) {
PasswordEncoder passwordEncoder= new BCryptPasswordEncoder();
this.password=passwordEncoder.encode(password);
}

我将用户名和编码密码存储在数据库中。我可以在注册后第一次进行身份验证。原因是休眠实体管理器在选择后会自动更新数据库中的密码值。不知道为什么！！！当我使用纯文本密码时，这一切都没有发生，一切正常。

4

1 回答 1

2

很难确定，因为您没有详细说明“我的 bean”是什么或setPassword使用此函数的位置，但如果它是 Hibernate 实体的一部分，则可能会使用已编码的密码调用它（例如，在加载时）来自数据库的实体，而不仅仅是在创建新实体时）。那时你肯定不想使用 bcrypt。这也可以解释为什么您可以第一次登录并且听起来很可能来自您对休眠自动更新字段的描述。

出于测试目的，尝试添加一个断言来检查字符串是否以“$2a”开头（就像 bcrypt 字符串一样），如果是，则抛出异常。

如果是这种情况，请确保在创建实体时调用实体外部的编码器，并将编码的密码传递给设置器。

于 2013-07-28T18:53:19.777 回答