Skip to main content
3 / 3
タグを編集; タグを編集
shingo.nakanishi
  • 6,543
  • 8
  • 59
  • 99

Spring Securityでユーザー登録時のパスワードの暗号化の一般的な書き方はありますか?

spring-security/SecurityConfig.java at 1e33627d87de0949c3f281ac8d3f4476e44d0093 · spring-projects/spring-security

上記公式のサンプルに

UserDetails userDetails = User.withDefaultPasswordEncoder()
    .username("user")
    .password("password")
    .roles("USER")
    .build();
return new InMemoryUserDetailsManager(userDetails);

という記載があります。おなじように同リポジトリには withDefaultPasswordEncoder を使った例が他にもたくさんあり、なるほど、これを使うのかと思いよくよく withDefaultPasswordEncoder の定義を見に行くと....

spring-security/User.java at master · spring-projects/spring-security

 * @deprecated Using this method is not considered safe for production, but is
 * acceptable for demos and getting started. For production purposes, ensure the
 * password is encoded externally. See the method Javadoc for additional details.
 * There are no plans to remove this support. It is deprecated to indicate
 * that this is considered insecure for production purposes.
 */
@Deprecated
public static UserBuilder withDefaultPasswordEncoder() {

本番では使用しないでください。デモとかで使うものです。メソッド自体は消すつもりはありませんが、Deprecatedとのこと!!

ということで、下記参考リンクのようにするのが一般的なのでしょうか?
Spring Securityでユーザ認証を実装してみる - ももいろテクノロジー

registerAdmin/registerUserメソッドでは、DBに保存する前にパスワードをBCryptでハッシュ化する。 passwordEncoderメンバは、@AutoWiredによるDependency Injectionにより、実行時にWebSecurityConfigクラスのメソッドが呼ばれて代入される。

つまり WebSecurityConfigurerAdapter を継承したクラスで暗号化方法を設定するので、その方法をDIでもらって新規作成の処理で使うというやりかたが一般的な形なのでしょうか?

shingo.nakanishi
  • 6,543
  • 8
  • 59
  • 99