如何在Vaadin/Spring Security中用Postgres存储哈希密码实现用户认证？

不需要从头重写JdbcUserDetailsManager，Spring Security已经提供了现成的工具链来处理加盐哈希密码，以下是具体实现步骤：

1. 配置密码编码器 #

Spring Security内置了多种安全的密码编码器，推荐使用BCryptPasswordEncoder（自动加盐）或更安全的Argon2PasswordEncoder，直接注册为Bean即可：

@Bean
public PasswordEncoder passwordEncoder() {
    // BCrypt自动生成随机盐，无需手动处理
    return new BCryptPasswordEncoder();
    // 若想使用更安全的Argon2：return new Argon2PasswordEncoder();
}

2. 方案一：使用JdbcUserDetailsManager（无需重写） #

只需给JdbcUserDetailsManager注入密码编码器，它会自动处理密码的哈希验证和存储加密：

@Bean
public UserDetailsManager userDetailsManager(DataSource dataSource, PasswordEncoder passwordEncoder) {
    JdbcUserDetailsManager manager = new JdbcUserDetailsManager(dataSource);
    // 设置密码编码器，验证时自动匹配哈希，存储时自动加密
    manager.setPasswordEncoder(passwordEncoder);
    return manager;
}

3. 方案二：自定义Repository配合UserDetailsService #

如果要用自己的@Repository接口（比如UserRepository），只需实现UserDetailsService接口，Spring Security会自动调用它完成认证：

实现UserDetailsService #

@Service
public class CustomUserDetailsService implements UserDetailsService {

    private final UserRepository userRepository;

    public CustomUserDetailsService(UserRepository userRepository) {
        this.userRepository = userRepository;
    }

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        // 从数据库查询用户
        User user = userRepository.findByUsername(username)
                .orElseThrow(() -> new UsernameNotFoundException("用户不存在: " + username));
        
        // 直接返回数据库中存储的哈希密码，Spring Security会用密码编码器自动验证
        return User.withUsername(user.getUsername())
                .password(user.getPasswordHash()) // 数据库字段存的是哈希后的密码
                .roles(user.getRoles().toArray(new String[0]))
                .build();
    }
}

存储用户时加密密码 #

注册或修改用户密码时，先用密码编码器加密再存入数据库：

@Service
public class UserService {

    private final UserRepository userRepository;
    private final PasswordEncoder passwordEncoder;

    public UserService(UserRepository userRepository, PasswordEncoder passwordEncoder) {
        this.userRepository = userRepository;
        this.passwordEncoder = passwordEncoder;
    }

    public void registerUser(String username, String rawPassword, List<String> roles) {
        // 对明文密码进行加盐哈希
        String hashedPassword = passwordEncoder.encode(rawPassword);
        User user = new User();
        user.setUsername(username);
        user.setPasswordHash(hashedPassword);
        user.setRoles(roles);
        userRepository.save(user);
    }
}

4. Spring Security配置类 #

在配置类中关联UserDetailsService和密码编码器，并适配Vaadin的路由规则：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends VaadinWebSecurityConfigurerAdapter {

    private final UserDetailsService userDetailsService;
    private final PasswordEncoder passwordEncoder;

    public SecurityConfig(UserDetailsService userDetailsService, PasswordEncoder passwordEncoder) {
        this.userDetailsService = userDetailsService;
        this.passwordEncoder = passwordEncoder;
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        super.configure(http);
        // 指定Vaadin的登录视图
        setLoginView(http, LoginView.class);
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService)
                .passwordEncoder(passwordEncoder);
    }
}

注意事项 #

• 数据库的密码字段长度要足够：BCrypt哈希结果是60字符，建议设置为varchar(255)避免截断；
• 不要手动生成盐，BCryptPasswordEncoder和Argon2PasswordEncoder都会自动生成随机盐并包含在哈希结果中；
• 永远不要存储明文密码，所有用户密码必须经过加盐哈希后再入库。

内容的提问来源于stack exchange，提问作者Donny Matchen