因為新專案沒有繼續用Shiro框架，再加上人比較懶，所以就沒有再寫新的關於 Shiro 的文章。但是今天發現已經有幾個朋友在 GitHub 上的給示例專案加星，也有留言諮詢的。我很高興這篇文章能夠幫到大家，也再次讓我感受到把在工作中學到的東西寫出來，和大家分享是這麼一件令人高興的事，用知乎上的話說這是一件長半衰期的事。我會繼續寫下去的

前言

上一篇文章，我們用 Spring Boot2 框架搭建了一個 web 專案，並且使用 Shiro 作為安全管理框架實現了使用者的身份認證，也就是登入。這篇文章首先簡要介紹了密碼儲存的演進史，然後結合程式碼介紹了在 Shiro 中怎麼使用 MD5、MD5 加鹽、 Bcrypt 等三種逐漸進步的方法加密密碼。

密碼儲存演進史

在上一篇文章中我們儲存在系統的使用者密碼還是明文，這顯然是很不合理和不專業的做法。作為一名工程師 專業自然是必須的。

常用的做法是使用加密演算法對使用者密碼加密然後儲存資料庫，當用戶登入時，對使用者密碼使用相同的演算法進行加密，然後與資料庫中的密文進行比對。作為一個合格專業的系統有兩點需要保證：

1. 使用者賬號不易被破解
2. 系統不能儲存使用者密碼原文

關於密碼儲存演進史這篇文章講的很好，朋友們可以看一下。從文章中我們知道密碼儲存大概分為幾個階段：

• 明文儲存
• 單向 hash（md5、sha256）
• 單向 has h加鹽
• 慢加密演算法(Bcrypt、Scrypt)

單項hash演算法

註冊使用者

因為要演示使用 Shiro 對密碼進行加密，上一節中的那種儲存密碼的方式非常不方便。在這一節我們新增一個使用者註冊的介面，使用使用者物件儲存使用者名稱和使用者密碼並且用一個集合儲存系統已註冊的使用者。

新建使用者類，並重寫toString方法。

package top.zhaodongxx.domain;

/**
 * @author zhaodong [email protected]
 * @version v1.0
 * @since 2018/7/19 10:40
 */
public class User {
    private
 
 String username;
    private String password;

    public String getUsername() {
        return username;
    }

    public void setUsername(String username) {
        this.username = username;
    }

    public String getPassword() {
        return password;
    }

    public void setPassword(String password) {
        this.password = password;
    }

    @Override
    public String toString() {
        return "User{" +
                "username='" + username + '\'' +
                ", password='" + password + '\'' +
                '}';
    }
}

在 ShiroService 類中新增新增使用者的方法 addUser ,我們使用 SimpleHash 類使用 MD5 加密演算法對密碼進行加密,然後在提供一個通過使用者名稱查詢使用者的方法，用於後面的登入驗證。

package top.zhaodongxx.service;

import org.apache.shiro.crypto.hash.SimpleHash;
import org.springframework.stereotype.Service;
import top.zhaodongxx.domain.User;

import java.util.ArrayList;
import java.util.List;

/**
 * <P></P>
 *
 * @author zhaodong [email protected]
 * @version v1.0
 * @since 2018/3/30 22:59
 */
@Service
public class ShiroService {

    public static List<User> userList = new ArrayList<User>();

    public String getPasswordByUsername(String username) {
        switch (username) {
            case "liming":
                return "123";
            case "hanli":
                return "456";
            default:
                return null;
        }
    }

    //根據使用者名稱查詢使用者
    public User getUserByUsername(String username) {
        System.out.println("登陸的使用者 " + username);
        for (User user : userList) {
            if (username.equals(user.getUsername())) {
                return user;
            }
        }
        return null;
    }

    //新增使用者
    public User addUser(String username, String password) {
        //通過MD5的方式加密密碼
        String newpwd = new SimpleHash("MD5", password).toHex();

        User user = new User();
        user.setUsername(username);
        user.setPassword(newpwd);

        userList.add(user);

        System.out.println(user);
        return user;
    }
}

新建註冊控制器類 RegisterController ,並提供註冊介面 /register 。

package top.zhaodongxx.controller;

import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RestController;
import top.zhaodongxx.domain.User;
import top.zhaodongxx.result.Result;
import top.zhaodongxx.result.ResultGenerator;
import top.zhaodongxx.service.ShiroService;

import javax.annotation.Resource;

/**
 * @author zhaodong [email protected]
 * @version v1.0
 * @since 2018/7/19 10:53
 */
@RestController
public class RegisterController {

    @Resource
    private ShiroService shiroService;

    @PostMapping("/register")
    public Result register(String username, String password) {

        User user = shiroService.addUser(username, password);
        return ResultGenerator.genSuccessResult(user).setMessage("註冊成功");
    }
}

如下體所示到這一步，我們就已經新建了一個使用者註冊的介面。

為Shiro配置加密演算法

配置hash演算法加密主要分為三步：

• 建立憑證匹配器 HashedCredentialsMatcher
• 為我們自定義的 MyShiroRealm Bean 新增憑證匹配器 HashedCredentialsMatcher
• 修改 MyShiroRealm 中 doGetAuthenticationInfo 方法的獲取使用者的方法

在 Shiro 配置檔案 ShiroConfig 中建立憑證匹配器 HashedCredentialsMatcher

/**
    * 憑證匹配器
    *
    * @return
    */
@Bean
public HashedCredentialsMatcher hashedCredentialsMatcher() {
    HashedCredentialsMatcher hashedCredentialsMatcher = new HashedCredentialsMatcher();
    /**
        * hash演算法:這裡使用MD5演算法;
        */
    hashedCredentialsMatcher.setHashAlgorithmName("MD5");
    /**
        * 雜湊的次數，比如雜湊兩次，相當於 md5(md5(""));
        */
    hashedCredentialsMatcher.setHashIterations(1);

    return hashedCredentialsMatcher;
}

在 Shiro 配置檔案 ShiroConfig 中為我們自定義的 MyShiroRealm Bean 新增憑證匹配器 HashedCredentialsMatcher

/**
    * 自定義的Realm
    */
@Bean(name = "myShiroRealm")
public MyShiroRealm myShiroRealm(){
    MyShiroRealm myShiroRealm = new MyShiroRealm();
    myShiroRealm.setCredentialsMatcher(hashedCredentialsMatcher());
    return myShiroRealm;
}

修改 MyShiroRealm 中 doGetAuthenticationInfo 方法

@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
    //獲取使用者賬號
    String username = token.getPrincipal().toString();

    User user = shiroService.getUserByUsername(username);
    if (!ObjectUtils.isEmpty(user)) {

        String realmName = getName();
        return new SimpleAuthenticationInfo(username, user.getPassword(), realmName);
    }
    return null;
}

到目前為止，我們已經成功的為 Shiro 配置了 MD5 這種加密方式。
下面我們來測試一下，先重啟專案，註冊新的賬號，然後等新賬號登入。如下圖所示，登入成功。

單向hash加鹽

單向hash演算法，保證了即使是系統管理員也不能輕易的通過密文反推出密碼原文。但是單向 hash 還是有個致命的缺點：相同的密碼，hash值一樣。

改進的措施是引入一個 隨機的因子 摻雜進明文中進行 hash 計算，這樣的隨機因子通常被稱之為鹽 （salt）。salt 一般是使用者相關的，且要保證在一個系統內每一個使用者的鹽都不相同，這樣就可以保證即使密碼相同，hash 值也一定不相同。一般的做法是用使用者表中的主鍵作為鹽。因為在我們這個工程中沒有資料庫，所以我們把使用者名稱作為鹽來示範一下。

為 Shiro 的單項 hash 演算法加上鹽需要兩步：

• 修改註冊使用者的加密演算法
• 修改 MyShiroRealm 類中 doGetAuthenticationInfo 方法的返回值 SimpleAuthenticationInfo 的新建方法引數：鹽

修改註冊使用者的加密演算法

String newpwd = new SimpleHash("MD5", password, ByteSource.Util.bytes(username)).toHex();

@Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        //獲取使用者賬號
        String username = token.getPrincipal().toString();

        User user = shiroService.getUserByUsername(username);
        if (!ObjectUtils.isEmpty(user)) {

            /**
             * 四個引數
             * principal：認證的實體資訊，可以是username，也可以是資料庫表對應的使用者的實體物件
             * credentials：資料庫中的密碼（經過加密的密碼）
             * credentialsSalt：鹽值（使用使用者名稱）
             * realmName：當前realm物件的name，呼叫父類的getName()方法即可
             */

            String realmName = getName();
            String credentials = user.getPassword();
            ByteSource credentialsSalt = ByteSource.Util.bytes(username);

            return new SimpleAuthenticationInfo(username, credentials, credentialsSalt, realmName);
        }
        return null;
    }

Bcrypt

Shiro 框架沒有內建 BCrypt 。需要我們引入新的庫 jBCrypt:

<dependency>
    <groupId>de.svenkubiak</groupId>
    <artifactId>jBCrypt</artifactId>
    <version>0.4.1</version>
</dependency>

在註冊使用者時修改加密方式,在 BCrypt 中我們不需要為每個使用者分配不同的鹽，只要使用 BCrypt.gensalt() 就可以生成鹽。

public String encodeByBCrypt(String password) {
    return BCrypt.hashpw(password, BCrypt.gensalt());
}

在 Shiro 配置檔案 ShiroConfig 中為我們自定義的 MyShiroRealm Bean 新增憑證匹配器 HashedCredentialsMatcher。

/**
    * 自定義的Realm
    */
@Bean(name = "myShiroRealm")
public MyShiroRealm myShiroRealm() {
    MyShiroRealm myShiroRealm = new MyShiroRealm();
    //配置單項hash
    //myShiroRealm.setCredentialsMatcher(hashedCredentialsMatcher());

    //配置 BCrypt
    myShiroRealm.setCredentialsMatcher(new CredentialsMatcher() {
        @Override
        public boolean doCredentialsMatch(AuthenticationToken token, AuthenticationInfo info) {
            UsernamePasswordToken userToken = (UsernamePasswordToken) token;
            //要驗證的明文密碼
            String plaintext = new String(userToken.getPassword());
            //資料庫中的加密後的密文
            String hashed = info.getCredentials().toString();

            return BCrypt.checkpw(plaintext, hashed);
        }
    });
    return myShiroRealm;
}

到此為止，我們使用 BCrypt 演算法加密了密碼。如下圖所示：

可以發現，相同密碼加密兩次後的密文是不一樣的。

至此，我們已經完成了為 Shiro 使用 BCrypt 演算法加密密碼。

專案下載地址

參考資料