Jak odwzorować właściwość bajtów [] przy użyciu trybu hibernacji?

Question

Używam Hibernate/Java do utrzymywania jednostki w bazie danych. Podmiot ma pole hasło, które jest String. Rejestrując użytkownika w mojej aplikacji, hash hasło za pomocą SHA-1 (uznaję, że jest to trochę słabe). W ten sposób powstaje byte [] które następnie przekonwertować do String użyciu new String(byte[] arr); Ilekroć chcę zalogować użytkownika w, po prostu odzyskać zaszyfrowany hasło z bazy danych (jak String) i porównaj go z trawienia z hasła wejściowego przy logowaniu z użyciem hashedPasswordFromDatabase.equals(SHA1_HASH(inputPassword));

To działało idealnie w moim systemie rozwoju (Windows 7, JDK 1.6.0_23/JDK 1.7, MySQL 5.5, Tomcat 6.0.26), ale po wdrożeniu go na naszym serwerze (z JDK 1.6 na Linuksie), równa się metoda nev er ocenia PRAWDA nawet dla równych haseł. Szybko konfiguruję nowy system programistyczny (Ubuntu 12.04, MySQL 5.5, JDK 1.7.0_03, Tomcat 7.0.22) i tam też nie działa.

Jestem świadomy możliwych problemów z kodowaniem podanych w dokumentacji interfejsu API języka Java dla klasy String, a także podanych w kilku miejscach na stronie SO. Próbowałem kilka kodowań sugerowanych na tym forum (np. Base64, Latin-1) i skończyło się na UnsupportedEncodingException. Myślę, że lepiej będzie, jeśli uniknę konwersji na String. Jak więc zaprojektować moją bazę danych tak, aby klasa jednostek generowanych przez Hibernate pojawiła się z bajtem [] dla pola 01 zamiast String?

Answer 1

Tak, najprawdopodobniej problem występuje w konwersji byte[] na String. Musisz wiedzieć, że SHA produkuje surową macierz byte i nie ma żadnej gwarancji, że arbitralne byte[] będzie produkować ważne String, niezależnie od kodowania. W ten sposób Twój kod działał tylko przez przypadek.

uniknąć problemu całkowicie przez:

• przechowywania surowego byte[] w blob - najbezpieczniejszym i najbardziej efektywny sposób przechowywania. W Hibernuj wystarczy użyć właściwości byte[] w swoim POJO.

• kodowanie byte[] przy użyciu base64 (sprawdź pod numerem Decode Base64 data in Java) i zapisz jako ciąg.

BTW remember about salting!

Answer 2

można przekonwertować bajt do szesnastkowym reprezentacji tak:

public String encryptPassword(String passwordInClear) { 
      // Salt all you want here. 
      MessageDigest sha256 = MessageDigest.getInstance("SHA-256"); 
    byte[] digest = sha256.digest(passwordInClear.getBytes()); 
    return digestToString(digest); 
} 

private String digestToString(byte[] digest) { 
    StringBuilder hashString = new StringBuilder(); 
    for (int i = 0; i < digest.length; i++) { 
     String hex = Integer.toHexString(digest[i]); 
     if (hex.length() == 1) { 
      hashString.append('0'); 
      hashString.append(hex.charAt(hex.length() - 1)); 
     } else { 
      hashString.append(hex.substring(hex.length() - 2)); 
     } 
    } 
    return hashString.toString(); 
} 

Answer 3

W moim przypadku, złe projektowanie baz danych wcisnąć mi użyć Blob w przypadku Clob. Rozwiązaniem było Mapowanie w hibernacji właściwości z adnotacją Lob i wstawienie innej właściwości w typie String.

Na innym poziomie kodu, gdy wywołuję get lub zestaw, używam właściwości String i tej, pobierz lub ustaw wartość tablicy bajtowej.

@Entity 
@Table(name = "CMUN_TAGS") 
@SequenceGenerator(name = "idSeqTag", sequenceName = "SEQ_CMUN_TAGS") 
public class CmunTagsDO implements java.io.Serializable { 
    private BigDecimal lngIdTag; 
    private byte[] blobValTag; 
    private String strValTag; 

    @Id 
    @Column(name = "LNG_ID_TAG", unique = true, nullable = false, precision = 20, scale = 0) 
    @GeneratedValue(strategy = GenerationType.SEQUENCE, generator = "idSeqTag") 
    public BigDecimal getLngIdTag() { 
    return this.lngIdTag; 
    } 

    public void setLngIdTag(BigDecimal lngIdTag) { 
    this.lngIdTag = lngIdTag; 
    } 

    @Column(name = "BLOB_VAL_TAG", nullable = false) 
    @Lob 
    public byte[] getBlobValTag() { 
    return this.blobValTag; 
    } 

    public void setBlobValTag(byte[] blobValTag) { 
    this.blobValorTag = blobValorTag; 
    } 

    @Transient 
    public String getStrValTag() { 
    strValTag = new String(getBlobValTag()); 
    return strValTag; 
    } 

    public void setStrValTag(String strValTag) { 
    setBlobValTag(strValTag.getBytes()); 
    this.strValTag = strValTag; 
    } 
}