Skip to main content
本文に 227 文字追加
ソース リンク

追記:
@Qualifierを用いるのではなく、BCryptPasswordEncoderBCryptPasswordEncoder型のBeanとして定義する(ことでPasswordEncoderとしてはインジェクションさせない)ようにしているものをいくつか見かけました()。

追記:
@Qualifierを用いるのではなく、BCryptPasswordEncoderBCryptPasswordEncoder型のBeanとして定義する(ことでPasswordEncoderとしてはインジェクションさせない)ようにしているものをいくつか見かけました()。

ソース リンク

(Userクラス自体、デモ以外で使うことはあまり無いのでは…という思いは置いておきつつ、)

Spring Securityのドキュメントを当メソッド名で検索すると注意文章がいくつかヒットしますが、例えば、10.10.4. In-Memory Authentication

In the sample below we leverage User.withDefaultPasswordEncoder to ensure that the password stored in memory is protected. However, it does not protect the password against obtaining the password by decompiling the source code.

とあるように、メソッド自身に問題がある、というよりは、パスワードをソースコードに直書きしがちなメソッドを提供してしまっていることが問題だ(本来パスワードをプロパティとして持たせたいなら外部でエンコードしたものを取り扱うべきだ)ということのように読めます。


WebSecurityConfigurerAdapter を継承したクラスで暗号化方法を設定するので、その方法をDIでもらって新規作成の処理で使うというやりかたが一般的な形なのでしょうか?

Bean化すること自体はSpring的には特に変ではないかなと思います。他方、必要な箇所でnew BCryptPasswordEncoder()していたとしてもこれも別に変ではないと思います。

ただ、今回のコードは個人的には微妙なやり方(デモとしてなら許されるが…)だと思います。
今回のコードでは、ユーザ情報登録時のパスワードエンコード処理に使うもの

@Autowired
private PasswordEncoder passwordEncoder;
...
    User user = new User(username, passwordEncoder.encode(password), mailAddress);

と、認証処理時に使うもの

auth
    .userDetailsService(userService)
    .passwordEncoder(passwordEncoder());

の2つ(だけ)がBCryptPasswordEncoderであれば良いですが、

@Bean
public PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}

としてしまうと、それ以外の場所でもPasswordEncoderの実装としてBCryptPasswordEncoderがインジェクションされるようになってしまいます。
意図的にそうするのであれば良いですが、一般的には、スコープが広すぎると思います。
(今回のデモではこの2つで全部なので問題ないが…ということです)

また、仮に、PasswordEncoderの実装として全ての処理でBCryptPasswordEncoderを用いるのだ、という場合には、確かにそこに書かれているようにBean定義することになりますが、その場合

auth
    .userDetailsService(userService)
    .passwordEncoder(passwordEncoder());

で行っている.passwordEncoder(passwordEncoder())は不要です。
(デフォルトをBCryptPasswordEncoderと決めたのだから明示的に設定せずともそれが用いられます。)

Password Storage Configuration - 5.1.2. Password Storage:

Spring Security uses DelegatingPasswordEncoder by default. However, this can be customized by exposing a PasswordEncoder as a Spring bean.

上記文章に対応する実装


現実的には、UserDetailsServiceの認証ではbcryptを使うと決めたが他はそうであるとは限らないのでデフォルト設定のままにしておきたい、みたいなこともあるかと思います。
その場合、Beanにするにしても@Qualifierを使用してスコープを狭めた方が良いと考えます。

@Configuration
public class PasswordEncoderConfiguration {

    @Bean
    @Primary
    public PasswordEncoder passwordEncoder() {
        return PasswordEncoderFactories.createDelegatingPasswordEncoder();
    }

    // 今回の2箇所ではこちらを用いる: @Qualifier("userDetailsServicePasswordEncoder")
    @Bean
    public PasswordEncoder userDetailsServicePasswordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

(…というふうに実装することを考えると、デフォルトとして採用しないのであれば、PasswordEncoder自身をBean化するメリットはあまり無さそうかな、という気もしてきました)