0

spring-security/SecurityConfig.java at 1e33627d87de0949c3f281ac8d3f4476e44d0093 · spring-projects/spring-security

上記公式のサンプルに

UserDetails userDetails = User.withDefaultPasswordEncoder()
    .username("user")
    .password("password")
    .roles("USER")
    .build();
return new InMemoryUserDetailsManager(userDetails);

という記載があります。おなじように同リポジトリには withDefaultPasswordEncoder を使った例が他にもたくさんあり、なるほど、これを使うのかと思いよくよく withDefaultPasswordEncoder の定義を見に行くと....

spring-security/User.java at master · spring-projects/spring-security

 * @deprecated Using this method is not considered safe for production, but is
 * acceptable for demos and getting started. For production purposes, ensure the
 * password is encoded externally. See the method Javadoc for additional details.
 * There are no plans to remove this support. It is deprecated to indicate
 * that this is considered insecure for production purposes.
 */
@Deprecated
public static UserBuilder withDefaultPasswordEncoder() {

本番では使用しないでください。デモとかで使うものです。メソッド自体は消すつもりはありませんが、Deprecatedとのこと!!

ということで、下記参考リンクのようにするのが一般的なのでしょうか?
Spring Securityでユーザ認証を実装してみる - ももいろテクノロジー

registerAdmin/registerUserメソッドでは、DBに保存する前にパスワードをBCryptでハッシュ化する。 passwordEncoderメンバは、@AutoWiredによるDependency Injectionにより、実行時にWebSecurityConfigクラスのメソッドが呼ばれて代入される。

つまり WebSecurityConfigurerAdapter を継承したクラスで暗号化方法を設定するので、その方法をDIでもらって新規作成の処理で使うというやりかたが一般的な形なのでしょうか?

1 件の回答 1

1

(Userクラス自体、デモ以外で使うことはあまり無いのでは…という思いは置いておきつつ、)

Spring Securityのドキュメントを当メソッド名で検索すると注意文章がいくつかヒットしますが、例えば、10.10.4. In-Memory Authentication

In the sample below we leverage User.withDefaultPasswordEncoder to ensure that the password stored in memory is protected. However, it does not protect the password against obtaining the password by decompiling the source code.

とあるように、メソッド自身に問題がある、というよりは、パスワードをソースコードに直書きしがちなメソッドを提供してしまっていることが問題だ(本来パスワードをプロパティとして持たせたいなら外部でエンコードしたものを取り扱うべきだ)ということのように読めます。


WebSecurityConfigurerAdapter を継承したクラスで暗号化方法を設定するので、その方法をDIでもらって新規作成の処理で使うというやりかたが一般的な形なのでしょうか?

Bean化すること自体はSpring的には特に変ではないかなと思います。他方、必要な箇所でnew BCryptPasswordEncoder()していたとしてもこれも別に変ではないと思います。

ただ、今回のコードは個人的には微妙なやり方(デモとしてなら許されるが…)だと思います。
今回のコードでは、ユーザ情報登録時のパスワードエンコード処理に使うもの

@Autowired
private PasswordEncoder passwordEncoder;
...
    User user = new User(username, passwordEncoder.encode(password), mailAddress);

と、認証処理時に使うもの

auth
    .userDetailsService(userService)
    .passwordEncoder(passwordEncoder());

の2つ(だけ)がBCryptPasswordEncoderであれば良いですが、

@Bean
public PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}

としてしまうと、それ以外の場所でもPasswordEncoderの実装としてBCryptPasswordEncoderがインジェクションされるようになってしまいます。
意図的にそうするのであれば良いですが、一般的には、スコープが広すぎると思います。
(今回のデモではこの2つで全部なので問題ないが…ということです)

また、仮に、PasswordEncoderの実装として全ての処理でBCryptPasswordEncoderを用いるのだ、という場合には、確かにそこに書かれているようにBean定義することになりますが、その場合

auth
    .userDetailsService(userService)
    .passwordEncoder(passwordEncoder());

で行っている.passwordEncoder(passwordEncoder())は不要です。
(デフォルトをBCryptPasswordEncoderと決めたのだから明示的に設定せずともそれが用いられます。)

Password Storage Configuration - 5.1.2. Password Storage:

Spring Security uses DelegatingPasswordEncoder by default. However, this can be customized by exposing a PasswordEncoder as a Spring bean.

上記文章に対応する実装


現実的には、UserDetailsServiceの認証ではbcryptを使うと決めたが他はそうであるとは限らないのでデフォルト設定のままにしておきたい、みたいなこともあるかと思います。
その場合、Beanにするにしても@Qualifierを使用してスコープを狭めた方が良いと考えます。

@Configuration
public class PasswordEncoderConfiguration {

    @Bean
    @Primary
    public PasswordEncoder passwordEncoder() {
        return PasswordEncoderFactories.createDelegatingPasswordEncoder();
    }

    // 今回の2箇所ではこちらを用いる: @Qualifier("userDetailsServicePasswordEncoder")
    @Bean
    public PasswordEncoder userDetailsServicePasswordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

(…というふうに実装することを考えると、デフォルトとして採用しないのであれば、PasswordEncoder自身をBean化するメリットはあまり無さそうかな、という気もしてきました)

追記:
@Qualifierを用いるのではなく、BCryptPasswordEncoderBCryptPasswordEncoder型のBeanとして定義する(ことでPasswordEncoderとしてはインジェクションさせない)ようにしているものをいくつか見かけました()。

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。