文档章节

shiro的HashedCredentialsMatcher密码匹配过程

Jonneykang
 Jonneykang
发布于 2017/09/07 09:12
字数 565
阅读 21
收藏 0

1.加密
用户注册时,系统为输入的密码进行加密,此处使用MD5算法,“密码+盐(用户名+随机数)”的方式生成散列值:

 

public class passwordEncry{

 

    //随机数生成器

    private static RandomNumberGenerator randomNumberGenerator = new SecureRandomNumberGenerator();

 

    //指定散列算法为md5

    private String algorithmName = "MD5";

    //散列迭代次数

    private final int hashIterations = 2;

 

    /**

     * 生成随机盐值对密码进行加密

     * @param userLogin  登录识别串(用户名)

     * @return

     */

    public UserLogin encrypt(UserLogin userLogin) {

        userLogin.setSalt(randomNumberGenerator.nextBytes().

        toHex());

        String newPassword =

        new SimpleHash(algorithmName,userLogin.getPassword(),

            ByteSource.Util.bytes(userLogin.getCredentialsSalt()),hashIterations).toHex();

 

        userLogin.setPassword(newPassword);

        return userLogin;

 

        ``````````````````````

    }

    }

这里的userLogin.getCredentialsSalt()为加密盐,我这里的盐设为(登录识别串+随机数),生成一个新的加密密码,并把新密码覆盖原明文密码存到数据库。加密完成。

2.HashedCredentialsMatcher的配置

<bean id="credentialsMatcher"

        class="org.apache.shiro.authc.credential.HashedCredentialsMatcher">

        <property name="hashAlgorithmName" value="MD5" />

        <property name="hashIterations" value="2" />

        <property name="storedCredentialsHexEncoded" value="true" />

    </bean>

HashedCredentialsMatcher配置的属性值要跟加密时的属性(hashAlgorithmName,hashIterations,storedCredentialsHexEncoded)一致,storedCredentialsHexEnc表示是否存储散列后的密码为16进制,需要和生成密码时的一样。

3.得到Token
从客户输入获取token(令牌)

   @Override

    protected AuthenticationToken createToken(ServletRequest request,ServletResponse response) {

        String username = request.getParameter("loginString");

        String password = request.getParameter("pwd");

        String rememberMe = request.getParameter("rememberMe");

        String host = getHost(request);

        UsernamePasswordToken token =

                new UsernamePasswordToken(username,

                password,

                Boolean.parseBoolean(rememberMe), host);

 

                return token;

    }

4.Realm认证
自己实现一个Realm,重写doGetAuthenticationInfo,得到一个AuthenticationInfo对象。

 @Override

    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {

 

        String username = (String)token.getPrincipal();

 

        UserLogin userLogin = userService.getUserLogin(username);

 

        if (userLogin == null) {

            throw new UnknownAccountException("用户不存在");

        }

 

        if("S".equals(userLogin.getStatus())) {

            throw new LockedAccountException("无效账号");

        }

 

        SimpleAuthenticationInfo authenticationInfo =

        new SimpleAuthenticationInfo(

            userLogin, //登录识别串信息

            userLogin.getPassword(), //密码

           ByteSource.Util.bytes(userLogin.getCredentialsSalt()),//盐值

                getName()  //realm name

        );

        return authenticationInfo;

    }

5.密码的匹配
最终会来到HashedCredentialsMatcher类的doCredentialsMatch()方法进行密码的比对,此方法包含两个参数AuthenticationToken token, AuthenticationInfo info,思路一下子豁然开朗。

  @Override

    public boolean doCredentialsMatch(AuthenticationToken token, AuthenticationInfo info) {

 

        Object tokenHashedCredentials =

        hashProvidedCredentials(token, info); 

 

        Object accountCredentials = getCredentials(info);

 

       return equals(tokenHashedCredentials, accountCredentials);

    }

方法的最后通过一个equals函数进行散列的比较:

           //equals()方法的主要代码:

            byte[] tokenBytes = toBytes(tokenCredentials);

            byte[] accountBytes = toBytes(accountCredentials);

            return Arrays.equals(tokenBytes, accountBytes);

验证完毕,最后执行subject.login(token)登录成功。

此处只简单介绍了shiro一种匹配器HashedCredentialsMatcher的认证过程,除了这个匹配器还有另外的匹配器,如PasswordMatcher(密码匹配器),道理都差不多

 

© 著作权归作者所有

共有 人打赏支持
Jonneykang
粉丝 0
博文 1
码字总数 565
作品 0
丰台
私信 提问
shiro实战系列(七)之Realm

Realm 是一个能够访问应用程序特定的安全数据(如用户、角色及权限)的组件。Realm 将应用程序特定的数据转 换成一种 Shiro 能够理解的格式,这样 Shiro 能够提供一个单一的易理解的 Subjec...

youcongtech
06/11
0
0
「实用教程」登录失败超过一定次数如何锁定帐号?

前言 本教程作者是「小灯光环」,作者简介:全栈开发工程师,CSDN博客专家,CSDN论坛 Java Web/Java EE版主,热爱技术,乐于分享,在分布式Web开发/Android开发/微信小程序开发/Linux系统优化...

技术小能手
08/02
0
0
Shiro限制登录尝试次数(适用于单节点)

要限制用户登录尝试次数,必然要对用户名密码验证失败做记录,Shiro中用户名密码的验证交给了CredentialsMatcher 所以在CredentialsMatcher里面检查,记录登录次数是最简单的做法。 我们用E...

灌南高手No1
09/26
0
0
跟开涛老师学shiro -- 编码/加密

在涉及到密码存储问题上,应该加密/生成密码摘要存储,而不是存储明文密码。比如之前的600w csdn账号泄露对用户可能造成很大损失,因此应加密/生成不可逆的摘要方式存储。 5.1 编码/解码 Sh...

文艺小青年
2017/07/06
0
0
shiro+springMVC整合文档及Demo

1.web.xml <!-- 配置Shiro过滤器,先让Shiro过滤系统接收到的请求 --> <!-- 这里filter-name必须对应定义的<bean id="shiroFilter"/> --> <!-- 使用[/*]匹配所有请求,保证所有的可控请求都经过......

罗曼蒂克瑟尔
2015/09/29
2.3K
28

没有更多内容

加载失败,请刷新页面

加载更多

Elasticsearch节点角色类型node.master和node.data说明s

一般地,ElasticSearch集群中每个节点都有成为主节点的资格,也都存储数据,还可以提供查询服务。这些功能是由两个属性控制的(node.master和node.data)。默认情况下这两个属性的值都是tru...

傲娇字符
13分钟前
2
0
jdbcTemplate 分页 com.github.pagehelper.Page

由于项目中用了mybatis分页插件 com.github.pagehelper.Page 有时候复杂的查询分页想用jdbcTemplate。又想用分页。 分页对象 public class PageBean<T> implements Serializable { priv...

xiaomin0322
13分钟前
0
0
rem的使用

(function (doc, win) { var docEl = doc.documentElement var resizeEvt = 'orientationchange' in window ? 'orientationchange' : 'resize' var recalc = function () { var cl......

Js_Mei
20分钟前
0
0
idea 删除代码的注释

搜索栏使用 正则表达式搜索 (/\*([^*]|[\r\n]|(\*+([^*/]|[\r\n])))*\*+/|[ \t]*//.*) 会搜索出来所有注释的代码 用空格replace替换掉就可以了。 或者搜索 (/\*([^*]|[\r\n]|(\*+([^*/]|[\r\...

时刻在奔跑
23分钟前
2
0
eclipse maven 项目运行mvn clean 后无法运行

错误: 错误:找不到或无法加载主类com.yyy.test.Main 解决方法: “project” --"Clean" 参考链接:https://jingyan.baidu.com/article/cbcede07107d9802f40b4dff.html...

qimh
27分钟前
1
0

没有更多内容

加载失败,请刷新页面

加载更多

返回顶部
顶部