[英]Is it safe to increase BCrypt logrounds for a live Grails application using Spring Security without re-encoding all passwords?
这个问题是针对使用带有BCrypt配置的Spring Security的生产Grails应用程序的。
为了跟上不断提高的服务器CPU速度，我想提高grails.plugin.springsecurity.password.bcrypt.logrounds属性的值，以便密码散列花费的时间更长并且更不容易受到攻击。
乍一想，我认为这是一项艰巨的任务，需要随着用户登录或大量重新编码以及自定义登录处理程序而采用一种trick琐的方法，但是当在两次运行之间在本地尝试使用永久数据库时，它似乎没有任何其他更改就可以正常工作。模拟非本地部署）。
我猜这是因为logrounds存储在密码哈希中：例如，在本地运行之间从10变到20时，密码如下所示
$2a$10$i/PEPcvSj... <-将logrounds设置为10时创建的帐户
'$2a$20$3GGujw6o... <-将logrounds设置为20时创建的帐户
我已经测试：
logrounds设置 是否有任何理由不继续进行更改？ 在此高度注意，因为以任何方式阻止生产登录的错误将造成极大的损失
一切都按预期进行，所以答案是可以的。 您可以更改对数舍入而不影响现有帐户，因为用于生成哈希的对数内置在哈希中。 BCrypt的不错功能
使用spring-security-bcrypt插件在Grails中进行bcrypt集成
[英]bcrypt integration in Grails using spring-security-bcrypt plugin
配置Spring Boot Security以在Grails 3.0中使用BCrypt密码编码
[英]Configuring Spring Boot Security to use BCrypt password encoding in Grails 3.0
使用带有Spring Security Grails插件的BCrypt密码哈希
[英]Using BCrypt password hashing with Spring Security Grails plugin
Grails使用Spring Security更新嵌入式对象但不提供编码密码
[英]Grails update embedded object but no encoding password using spring security
使用Spring Security（CAS）从Grails应用程序注销时遇到问题
[英]Trouble logging out from a Grails application using Spring Security (CAS)
在没有域模型的情况下使用带有Grails的Spring Security插件
[英]Using the Spring Security plugin with Grails without the domain model
声明:本站的技术帖子网页，遵循CC BY-SA 4.0协议，如果您需要转载，请注明本站网址或者原文地址。任何问题请咨询:yoyou2525@163.com.