BCrypt.checkpw () Исключение недопустимой версии соли

Мне очень жаль, что я задал этот вопрос. У меня была только одна ошибка в коде, который сохранял простую строку в БД вместо BCrypted. Он был полностью вызван из какой-то другой части кода.

Если другие сталкиваются с тем же исключением, проверьте правильность параметров BCrypt.checkpw. (Я не нашел и поэтому нашел этот вопрос до того, как осознал свою глупую ошибку.)

Или, как ответил сам ОП, запишите / отладьте значение хешированного пароля, чтобы дважды проверить, что вы на самом деле сравниваете хешированный пароль! Это должна быть строка из 60 символов в формате $2a$10$llw0G6IyibUob8h5XRt9xuRczaGdCm/AiV6SSjf5v78XS824EGbh..

Я столкнулся с той же проблемой; Убедитесь, что ваш пароль хранится в базе данных в хешированном формате, а не в виде обычного текста. Вот генератор Bcrypt для преобразования вашего простого текстового пароля в хэш Bcrypt.

Вы должны убедиться, что первый аргумент - это открытый текст, а второй - хешированный пароль. Это объявление функции:

 public static boolean checkpw(String plaintext, String hashed)

jBcrypt слишком стар и фактически не поддерживается. Пожалуйста, подумайте о переходе на новую реализацию этой библиотеки для работы с новыми $2y$ версиями.

Я решил это, используя эту чистую библиотеку Java https://github.com/patrickfav/bcrypt, добавив ее в моем текущем проекте Scala.

С помощью следующей функции я наконец могу проверить хэши, созданные с помощью VERSION_2Y:

  /**
    * Verifies an encrypted password against the expected value
    *
    * @link https://github.com/patrickfav/bcrypt
    * @param hash The hashed password (encypted with BCrypt version $2Y$)
    * @param password The unencrypted password string
    */
  private def verifyBcryptHash(hash: String, password: String): Boolean = {
    if (hash == null || hash.trim.isEmpty)
      false
    else
      BCrypt
        .verifyer()
        .verifyStrict(
          password.toCharArray(),
          hash.toCharArray(),
          BCrypt.Version.VERSION_2Y
        )
        .verified
  }

BCrypt, кажется, бросает этот отвлекающий маневр, если значение "хеша", которое вы передаете в checkpw(password, hash), даже не является расшифровываемым значением.

в моем случае я использовал {bcrypt} в качестве префикса при вставке в db.

экземпляр

{bcrypt}$2a$12$Yb3YagKV8B3AXoY2p/Ldk.L2maVKfNlr2dedk4ZUs/YUlalS8EzYu

когда я получу пароль, будет возвращено все значение, включая prefix. Поэтому я исключил префикс из значения hashing.

String prefix= "{bcrypt}";

String hash_pw= user.getPassword().substring((prefix.length());

BCrypt.checkpw(loginRequest.getPassword(),hash_pw);

Можете ли вы разделить {bcrypt} и попробовать другие детали, используя

BCrypt.checkpw("123", "$2a$10$lVPvO6zyyxEWEPlKBg5B3OTjUHGS4LZ2jlulWAUpOjGz3.helz9H2");

В моем случае я получил эту ошибку пересмотра соли из-за применения хешированного пароля от https://bcrypt-generator.com в средство проверки bcrypt моего сервера (безопасность Spring Java). Однако с другим таким же простым паролем, но с хешированием от https://www.javainuse.com/onlineBcrypt, он работал и проверял пароль. Раунды регистрации настраиваются одинаково (16).

Я предположил, что мой случай связан с использованием другого кодировщика bcrypt, хотя некоторые могут работать с другим.

Но гарантировано, что хешированный пароль не имеет этой проблемы, если генератор bcrypt и средство проверки взяты из одной библиотеки.