上記公式のサンプルに
UserDetails userDetails = User.withDefaultPasswordEncoder()
.username("user")
.password("password")
.roles("USER")
.build();
return new InMemoryUserDetailsManager(userDetails);
という記載があります。おなじように同リポジトリには withDefaultPasswordEncoder
を使った例が他にもたくさんあり、なるほど、これを使うのかと思いよくよく withDefaultPasswordEncoder
の定義を見に行くと....
spring-security/User.java at master · spring-projects/spring-security
* @deprecated Using this method is not considered safe for production, but is
* acceptable for demos and getting started. For production purposes, ensure the
* password is encoded externally. See the method Javadoc for additional details.
* There are no plans to remove this support. It is deprecated to indicate
* that this is considered insecure for production purposes.
*/
@Deprecated
public static UserBuilder withDefaultPasswordEncoder() {
本番では使用しないでください。デモとかで使うものです。メソッド自体は消すつもりはありませんが、Deprecatedとのこと!!
ということで、下記参考リンクのようにするのが一般的なのでしょうか?
Spring Securityでユーザ認証を実装してみる - ももいろテクノロジー
registerAdmin/registerUserメソッドでは、DBに保存する前にパスワードをBCryptでハッシュ化する。 passwordEncoderメンバは、@AutoWiredによるDependency Injectionにより、実行時にWebSecurityConfigクラスのメソッドが呼ばれて代入される。
つまり WebSecurityConfigurerAdapter
を継承したクラスで暗号化方法を設定するので、その方法をDIでもらって新規作成の処理で使うというやりかたが一般的な形なのでしょうか?