如何将Grails 2.5.6中SHA-256哈希的账户迁移至Grails 4.0.12

• 先确认密码验证的完整流程
  在登录逻辑中添加日志，输出数据库中存储的SHA256密码（注意脱敏，仅打印部分字符）、用户输入密码经当前编码器处理后的结果，以及验证时的匹配逻辑。比如在UserDetailsService或自定义登录验证类里，打印encodedPassword和presentedPassword处理前后的值，核对Grails 2与Grails 4的SHA256实现差异——Grails 2的Sha256PasswordEncoder可能默认带有盐值处理（比如用用户名作为盐），或配置了特定迭代次数，要检查原项目Config.groovy里的grails.plugins.springsecurity.password.algorithm、saltSource相关配置，确保Grails 4的SecurityConfig对应一致。

• 核对Burt方案的实现细节
  如果采用多编码器兼容方案（同时支持SHA256旧密码和BCrypt新密码），需确保以下几点：

  1. 自定义DelegatingPasswordEncoder，将旧的SHA256编码器和新的BCrypt编码器注册进去；
  2. 数据库中的旧密码需添加前缀（比如{SHA-256}），让DelegatingEncoder能识别对应验证编码器；
  3. 保证旧SHA256编码器的迭代次数与Grails 2一致，Grails 2默认迭代次数为10000，若Grails 4中配置不同，生成的哈希值会完全不匹配。

• 复现原SHA256哈希生成逻辑
  编写测试代码，模拟Grails 2的哈希生成逻辑，与数据库存储值对比：

  // 模拟Grails 2的SHA256编码逻辑（假设原项目用用户名作为盐）
  def salt = user.username
  def rawPassword = "test123"
  def encoder = new org.springframework.security.authentication.encoding.Sha256PasswordEncoder(10000)
  def encodedPassword = encoder.encodePassword(rawPassword, salt)
  println(encodedPassword)
  

  在Grails 4项目中运行相同代码，若生成结果与数据库值不一致，说明盐值规则、迭代次数或拼接逻辑存在差异，需进一步核对原项目代码细节。

• 检查Spring Security配置正确性
  在Grails 4的application.groovy中，明确配置兼容模式的密码编码器：

  grails.plugin.springsecurity.password.encoder = new org.springframework.security.crypto.password.DelegatingPasswordEncoder(
      'bcrypt', 
      [
          'bcrypt': new org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder(),
          'sha256': new org.springframework.security.authentication.encoding.Sha256PasswordEncoder(10000)
      ]
  )
  // 若旧密码未加前缀，设置默认匹配编码器为sha256，或批量为旧密码添加前缀
  grails.plugin.springsecurity.password.encoder.defaultPasswordEncoderForMatches = 'sha256'
  

  同时确认登录使用的AuthenticationProvider已关联该编码器，而非默认的BCrypt编码器。

• 排查无报错的核心原因
  无错误抛出说明验证逻辑正常执行但匹配失败，需添加日志定位具体问题：比如在AbstractUserDetailsAuthenticationProvider的additionalAuthenticationChecks方法附近打印日志，或自定义AuthenticationFailureHandler，输出失败原因（是密码不匹配，还是用户状态异常等）。

内容的提问来源于stack exchange，提问作者MKOCH