请求协助：将Active Directory中SHA1密码解密为明文存入Forgerock OpenIDM

首先必须明确：SHA1是单向哈希算法，无法逆向解密为明文。Active Directory中存储的SHA1密码是密码的哈希值（通常会用Base64编码存储），这是不可逆的操作，没有办法从哈希值还原出原始明文密码。

你的当前代码只是完成了Base64解码，得到的是SHA1哈希的二进制数据，直接转成String会出现乱码（因为二进制哈希不是可读字符序列），这不是解密，只是解码编码后的哈希值。

可行的替代方案 #

如果需要在OpenIDM中处理用户密码，有以下几种可行方式：

• 直接存储SHA1哈希并配置认证比对
  在OpenIDM中存储解码后的SHA1哈希值（转成十六进制字符串更易处理），然后配置OpenIDM的认证模块，当用户登录时，对输入的密码计算SHA1哈希，再与存储的哈希值比对。

  修正后的代码示例（将Base64解码后的二进制哈希转为十六进制字符串）：

  if (source != null) {
      var base64 = Packages.org.forgerock.util.encode.Base64url;
      var sha1Bytes = base64.decode(source);
      // 将二进制SHA1哈希转为十六进制字符串
      var hexString = new Packages.java.lang.String();
      for (var i = 0; i < sha1Bytes.length; i++) {
          var hex = Packages.java.lang.Integer.toHexString(0xff & sha1Bytes[i]);
          if (hex.length() == 1) {
              hexString += "0";
          }
          hexString += hex;
      }
      logger.info("SHA1 Hash (Hex): {}", hexString);
      target = hexString;
  }
  

• 重置用户密码同步明文
  如果业务必须需要明文密码，只能通过触发AD用户密码重置流程，让用户设置新密码，同时将新密码同步到OpenIDM。这种方式需要用户参与，且要确保传输过程的安全性（比如使用HTTPS）。

• 启用AD明文密码存储（不推荐）
  虽然AD可以配置存储明文密码，但这会带来严重的安全风险，极易导致密码泄露，强烈不建议采用这种方式。

内容的提问来源于stack exchange，提问作者Manideep