shiro 学习之加密认证

概述

认证过程和上一篇基本一致的(shiro 学习之认证详解),进行密码比对的时候选择的比对器不一样.

• 特点:数据库不存密码明文,直接存密文.
• 注意:注册用户的时候加密密码然后存储密文和加密用的salt(俗称盐)
• 注意2:加密的算法和 shiro 配置的解密的算法要一致

---

项目地址：https://github.com/thecattle/spring-mvc-shiro

---

1. SHA-256加密

1.1 创建加密密码

首先我们有个账户,用户名为: admin, 密码为: password
然后通过下面的方法把密码加密,得到的结果:
encodedPassword(密码): qWdiGI6l8lHjpCXOSrEWOD4UX2gguGTim3hqJVe6nOc=
salt(加密用的盐):
9Se1CbOxZNFC7a9PaiKZCQ==
把它俩都存入数据库,包括盐,因为解密的时候需要它.
注意:这里的hashIterations次数,算法名字,是否 toBase64(),一定要对应 shiro.xml 解密的配置,否则肯定匹配不对

  /**
     * 模拟创建用户时候存入的密码和盐
     * @param password
     */
    private void credent(String password){

        //散列随机数
        String salt = new SecureRandomNumberGenerator().nextBytes().toBase64();
        //散列迭代次数
        int hashIterations=1024;

        /*
        shiro.xml 中  storedCredentialsHexEncoded=true 则需要 .toHex()
        shiro.xml 中  storedCredentialsHexEncoded=false 则需要 .toBase64()
         */
        String encodedPassword = new Sha256Hash(password, salt, hashIterations).toBase64();
        /*
            效果等同于上句代码
            String encodedPassword = = new SimpleHash("SHA-256", password, salt, hashIterations);
         */
        System.out.println("encodedPassword:"+encodedPassword);
        System.out.println("salt:"+salt);
    }

    public static void main(String[] args) {
        UserDaoImpl myRealm=new UserDaoImpl();
        // 用户的密码为"password",现在把它加密
        myRealm.credent("password");
    }

那么现在我们的假数据就是这样的了

image.png

1.2 shiro.xml添加配置

由上篇文章可以知道,获取用户凭证是在 realm 中获取的,查看源码可以知道 realm 中有配置加密的入口,所以在 realm 中加入配置.如下

 <!-- 配置密码匹配器 -->
                <property name="credentialsMatcher">
                    <bean class="org.apache.shiro.authc.credential.HashedCredentialsMatcher">
                        <!-- 加密算法为SHA-256 -->
                        <property name="hashAlgorithmName" value="SHA-256"></property>
                        <!-- 加密迭代次数 -->
                        <property name="hashIterations" value="1024"></property>
                        <!--是否存储散列后的密码为16进制，为 true：.toHex()，为 false：.toBase64()-->
                        <property name="storedCredentialsHexEncoded" value="false"></property>
                    </bean>
                </property>

最后这是这样的

image.png

1.3 realm 中返回用户凭证

shiro 解析密码的配置好了,现在配置下加解密的小桥了,现在的对象要返回这个了,带盐的

 AuthenticationInfo authcInfo1 = new SimpleAuthenticationInfo(
                    userDao.getUserName(),
                    userDao.getUserPassword(),
                    ByteSource.Util.bytes(userDao.getSalt()),
                    this.getName());

整体代码这样

image.png

1.4 测试

项目跑起来看看

可以看到我们返回的用户凭证是这个

image.png

因为我们的密码匹配器设置的是这个HashedCredentialsMatcher
在认证方法中根据:

输入明文密码包装的 token
realm 中根据数据库返回的凭证 info

token 和 info 比对
得到的计算后的两个值是一样的 都是 a967..,所以匹配成功

image.png

就登录成功了

image.png

2. MD5加密

MD5同上面加密几乎一模一样,就是算法名字改下就可以了.
创建密码的时候可以用:

......
String encodedPassword = new SimpleHash(" MD5", password, salt, hashIterations).toBase64();
......

sihro.xml 中:

......
<property name="hashAlgorithmName" value="MD5"></property>
......

realm 中不变