基于Glassfish实现双重哈希密码认证的配置方法咨询

嘿，刚好之前折腾过Glassfish的密码哈希认证，来给你详细说下怎么解决这个双重哈希的需求：

Glassfish默认的Digest认证机制只支持单一哈希函数，没法通过纯配置实现「先哈希A再哈希B」的双重处理逻辑，必须通过自定义扩展来实现，不过不用太担心，两种方案都不算复杂。

方案一：自定义DigestAlgorithm（轻量首选） #

Glassfish的DigestLoginModule会通过DigestAlgorithm接口来执行哈希计算，我们可以实现这个接口，在里面封装双重哈希的逻辑，步骤如下：

1. 新建一个Java类，实现com.sun.enterprise.security.auth.digest.DigestAlgorithm接口
2. 在computeHash方法里，先对输入的明文密码用哈希函数A处理，得到中间值；再把这个中间值作为输入，用哈希函数B处理，返回最终结果
   举个伪代码例子：

   public byte[] computeHash(byte[] input) throws DigestException {
       // 先执行哈希A
       MessageDigest digestA = MessageDigest.getInstance("SHA-256"); // 替换成你的哈希A
       byte[] hashA = digestA.digest(input);
       // 再执行哈希B
       MessageDigest digestB = MessageDigest.getInstance("SHA-512"); // 替换成你的哈希B
       return digestB.digest(hashA);
   }
   

3. 把这个类打包成JAR，放到Glassfish的domain/lib/ext目录下（确保Glassfish能加载到）
4. 修改Glassfish的domain/config/login.conf，在你的认证域里指定自定义的digest-function：

   your-auth-realm {
       com.sun.enterprise.security.auth.login.DigestLoginModule required
       digest-function="com.yourcompany.security.DoubleHashAlgorithm"
       realm-name="yourRealm";
   };
   

方案二：重写DigestLoginModule（更灵活） #

如果需要更复杂的逻辑（比如加盐、自定义编码处理），可以直接重写Glassfish的默认DigestLoginModule：

1. 继承com.sun.enterprise.security.auth.login.DigestLoginModule
2. 重写getPasswordDigest方法，在里面实现双重哈希的逻辑
3. 同样打包JAR放到Glassfish的lib目录
4. 在login.conf里直接指定自定义的LoginModule：

   your-auth-realm {
       com.yourcompany.security.CustomDigestLoginModule required
       realm-name="yourRealm";
   };
   

关键注意事项 #

• 数据库存储值必须匹配：确保数据库里存的是「明文密码→哈希A→哈希B」的最终结果，不然认证肯定失败，建议先手动计算几次验证一致性
• 编码要统一：处理密码时一定要用固定的编码（比如UTF-8），避免因编码差异导致哈希结果不一致
• 哈希函数安全性：尽量选用安全的哈希算法（比如SHA-256、SHA-512），别用MD5这种已经不安全的算法
• 测试验证：部署后一定要用真实账号测试，确保认证流程正常

内容的提问来源于stack exchange，提问作者Tuấn Phạm