在spring security3中使用自定义的MD5和salt进行加密

首先看代码：

	<authentication-manager alias="authenticationManager">





		<authentication-provider user-service-ref="myUserDetailsService">





			<password-encoder ref="myPasswordEncode">





				<salt-source user-property="salt"/>





			</password-encoder>





		</authentication-provider>





	</authentication-manager>

	<beans:bean id="myPasswordEncode" class="pw.bany.security.MyPasswordEncode">





		<beans:constructor-arg name="encode" value="md5"></beans:constructor-arg>





	</beans:bean>

如果我们要自己控制密码权限的验证，可以在配置中使用<password-encoder ref="myPasswordEncode">来指定自己的密码验证类，该类继承自MessageDigestPasswordEncoder。需要我们复写了public boolean isPasswordValid(String savePass, String submitPass, Object salt)方法，如果返回true，表示验证通过。上面代码还为MyPasswordEncode传入encode属性，来设置MyPasswordEncode中encode（本文下面的代码没有用到）。这样在isPasswordValid就可以用到需要加密的算法。isPasswordValid中savePass为数据库中加密保存的密码，submitPass为用户登录时提交的明文密码。

	@Override





	// 如果返回true，则验证通过。





	public boolean isPasswordValid(String savePass, String submitPass,





			Object salt) {





		return savePass.equalsIgnoreCase(Util.MD5WithSalt(submitPass,





				salt.toString()));





	}

Util.MD5WithSalt(submitPass,salt.toString())，是我们的加密方法，此处没贴出源码，网上很多。这里的salt需要特别注意一下，怎么才能把数据库中的salt传过来的问题。

上面配置中使用了<salt-source user-property="salt"/>来指定salt，但是系统是怎么知道在数据库中的salt字段呢？其实这里实际上是指定了org.springframework.security.core.userdetails.User中的一个属性，但是这个类中并没有这个属性，此时，需要我们重写这个类，为该类加入salt属性。

package pw.bany.security;





 





import java.util.Collection;





import org.springframework.security.core.GrantedAuthority;





import org.springframework.security.core.userdetails.User;





 





public class SaltedUser extends User {





 





	private String salt;





 





	public SaltedUser(String username, String password, boolean enabled,





			boolean accountNonExpired, boolean credentialsNonExpired,





			boolean accountNonLocked,





			Collection<? extends GrantedAuthority> authorities, String salt) {





		super(username, password, enabled, accountNonExpired,





				credentialsNonExpired, accountNonLocked, authorities);





		this.salt = salt;





	}





 





	public String getSalt() {





		return salt;





	}





 





	public void setSalt(String salt) {





		this.salt = salt;





	}





 





}

完成这里之后，还是不够的，因为重载的类只是有了这个属性，但是还是不知道如何从数据库中获取。要做到这个其实很简单，我们只需要修改myUserDetailsService中loadUserByUsername的返回值：

@Override





	public UserDetails loadUserByUsername(String username)





			throws UsernameNotFoundException {





		Collection<GrantedAuthority> auths = new ArrayList<GrantedAuthority>();





		User user = null;





		try {





			user = userDao.getUserByName(username);





			if (user == null)





				throw new UsernameNotFoundException("用户" + username + "不存在!");





			List<String> rolenames = userDao.loadRolesByUserName(username);





			System.err.println("用户拥有角色有:");





			for (String rolename : rolenames) {





				SimpleGrantedAuthority authority = new SimpleGrantedAuthority(





						rolename);





				auths.add(authority);





				System.err.println(rolenames);





			}





		} catch (Exception e) {





			e.printStackTrace();





		}





		System.err.println(auths.size());





		boolean isEnabled = true;





		boolean accountNonExpired = true;





		boolean credentialsNonExpired = true;





		boolean accountNonLocked = true;





 





		if (!user.getStatus().equalsIgnoreCase("enabled")) {





			isEnabled = false;





		}





 





		return new SaltedUser(user.getUsername(), user.getPassword(),





				isEnabled, accountNonExpired, credentialsNonExpired,





				accountNonLocked, auths, user.getSalt());





	}

如上面红色代码部分，一看便知。

原文地址:https://blog.csdn.net/zavens/article/details/17165833