security - Grails 密码更改：只允许“新”密码

Question

我需要提高建立在 grails 上的网站的安全性。

要求是当用户更改其密码时，它不应该能够从之前的 N 个密码中进行选择。

有谁知道这个模块？我应该自己滚动吗？

任何想法/提示将不胜感激。

提前致谢

Answer 1

这取决于您的要求。有几个可用的安全插件，有关列表，请参阅http://www.grails.org/Security上的“提供登录和页面级别安全性”标题 如果您想自己扮演角色，只需创建一个包含旧密码的域类，将其与特定用户关联，如果新密码在您的域中存储的旧密码列表中，则不允许该用户起诉它。

Answer 2

要求是当用户更改其密码时，它不应该能够从之前的 N 个密码中进行选择。

请推迟这个要求。这是愚蠢的，并没有提高安全性。每次您让用户更改密码时，您都会增加他们简单地将密码写下来并将其粘贴到他们的显示器上的可能性。阻止他们重复使用旧密码会使情况变得更糟。

这是一种安全“最佳实践”，就像出血和浸出曾经是医学最佳实践一样；每个人都是出于无知而这样做的。

Answer 3

自己动手并不难。

在保存之前使用 GORM 事件，检查比较密码，然后根据比较结果取消或继续相同的操作。