Zagraj w Framework 2 najlepszy sposób na przechowywanie skrótu hasła użytkownika

Question

Mam opcję dodawania użytkownika w mojej aplikacji. Chciałbym przechować przepustkę użytkownika w formacie mieszania w bazie danych. Hasło jest przechowywane w postaci zwykłego tekstu w przykładowych kodach dołączonych do frameworka. Po kilku poszukiwaniach dowiedziałem się, że istnieje funkcja Crypto.encryptAES() zaimplementowana w play2, której można użyć do zabezpieczenia haseł.

Moje pytanie brzmi: jakie jest najlepsze miejsce, aby z niego skorzystać? I jak z niego korzystać, aby stworzyć najbardziej podlegający konserwacji kod?

Answer 1

Osobiście zrobiłbym to w modelu User. Mam pobierające dla moich polach, więc w setPassword metody:

this.password = HashHelper.createPassword(password); 

Hashhelper jest tylko pojedyncza klasa dla wielu celów `mieszające rzeczy.

I Hashelper używam BCrypt, po prostu dodaj do Build.scala

org.mindrot" % "jbcrypt" % "0.3m 

A CryptoAPI wygląda następująco:

/** 
* Create an encrypted password from a clear string. 
* 
* @param clearString 
*   the clear string 
* @return an encrypted password of the clear string 
* @throws AppException 
*    APP Exception, from NoSuchAlgorithmException 
*/ 
public static String createPassword(String clearString) throws AppException { 
    if (clearString == null) { 
     throw new AppException("empty.password"); 
    } 
    return BCrypt.hashpw(clearString, BCrypt.gensalt()); 
} 

odszyfrowania wygląda następująco:

/** 
* Method to check if entered user password is the same as the one that is 
* stored (encrypted) in the database. 
* 
* @param candidate 
*   the clear text 
* @param encryptedPassword 
*   the encrypted password string to check. 
* @return true if the candidate matches, false otherwise. 
*/ 
public static boolean checkPassword(String candidate, String encryptedPassword) { 
    if (candidate == null) { 
     return false; 
    } 
    if (encryptedPassword == null) { 
     return false; 
    } 
    return BCrypt.checkpw(candidate, encryptedPassword); 
} 

Uwielbiam przechowywać moje kontrolery tak proste, jak to tylko możliwe, ponieważ widzę moich kontrolerów, tak jak kontrolerów ruchu między akcja użytkownika i model biznesowy (w moich modelach!).

Answer 2

znalazłem wiele prostsze rozwiązanie w internecie na ten adres: http://rny.io/playframework/bcrypt/2013/10/22/better-password-hashing-in-play-2.html

najpierw pobrać jbcrypt-xxx.jar na this adress.

W libraryDependencies w build.sbt dodać:

"org.mindrot" % "jbcrypt" % "0.3m" 

Jest to funkcja, aby utworzyć nowego użytkownika (znajdujący się w klasie modelu użytkownika):

public static User create(String userName, String password) { 
    User user = new User(); 
    user.userName = userName; 
    user.passwordHash = BCrypt.hashpw(password, BCrypt.gensalt()); 
    user.save(); 
    return user; 
    } 

I nadal w klasa użytkownika, funkcja do uwierzytelnienia:

public static User authenticate(String userName, String password) { 
    User user = User.find.where().eq("userName", userName).findUnique(); 
    if (user != null && BCrypt.checkpw(password, user.passwordHash)) { 
     return user; 
    } else { 
     return null; 
    } 

I działa!