💬 PasswordEncoder 인터페이스

• 개념

  • Spring Security에서 지원하는 패스워드 단방향 암호화 인터페이스를 말합니다.
  • 단방향이기 떄문에 암호화는 가능하지만 복호화는 불가능합니다...
  • 하지만 복호화된 값을 불러오지 않아도 “패스워드 일치 여부 조회” 등은 알고리즘을 통해 가능합니다.

• 구성 코드

  public interface PasswordEncoder {
  
  	 /* Encode the raw password.(비밀번호 단방향 암호화)*/
  	String encode(CharSequence rawPassword);
  
  	/**
       * 암호화하지 않은 비밀번호(rawPassword)와 암호화된 비밀번호(encodedPassword가 일치하는지 비교
  	 * @param rawPassword the raw password to encode and match
  	 */
  	boolean matches(CharSequence rawPassword, String encodedPassword);
  
  	/**
  	 * 암호화된 비밀번호를 다시 암호화하고자 할 경우 true를 return하게 설정  (기본적으로 false를 리턴)
  	 * @param encodedPassword the encoded password to check
  	 */
  	default boolean upgradeEncoding(String encodedPassword) {
  		return false;
  	}
  }
  

• 구현 클래스

  • BcryptPasswordEncoder (권장)
    • 개념 : BCrypt 해시 함수를 사용해 비밀번호를 암호화,
    • 장점 : Password를 encode할 때, 매번 랜덤 salt를 부여함으로써 여러번 해시를 적용하여 기존 패스워드를 추측하기 어렵습니다. //같은 패스워드를 암호화해도 매번 다른 결과값을 반환
    • 단점 : 만약, 사용자가 패스워드를 잃어버리면 찾기가 불가능 합니다. 그렇기 때문에 패스워드 변경 메일, SMS 인증을 통해 새로운 비밀번호 생성 필요
    • 내부 코드 (salt 값 : 랜덤)
  • Argon2PasswordEncoder : Argon2 해시 함수를 사용해 비밀번호를 암호화
  • Pbkdf2PasswordEncoder : PBKDF2 해시 함수를 사용해 비밀번호를 암호화
  • SCryptPasswordEncoder : SCrypt 해시 함수를 사용해 비밀번호를 암호화

실습) BCryptPasswordEncoder를 사용해 패스워드 암/복호화 구현

1. Spring-security 모듈 의존성 추가

• build.gradle
• pom.xml

2. 주의사항!!!!

• WebSecurityConfigurerAdapter 클래스를 상속받은 클래스에 CSRF 설정을 off 시켜야 합니다.