BCrypt.checkpw()无效的salt版本异常

时间:2013-05-10 09:00:51

标签: java hibernate playframework-2.1 bcrypt jbcrypt

我正在尝试使用BCrypt在我的Play 2.1中实现身份验证。 Java应用程序,但是当我尝试验证用户时,我得到Invalid salt version exception

这是我的堆栈跟踪

play.api.Application$$anon$1: Execution exception[[IllegalArgumentException: Invalid salt version]]
at play.api.Application$class.handleError(Application.scala:289) ~[play_2.10.jar:2.1.0]
at play.api.DefaultApplication.handleError(Application.scala:383) [play_2.10.jar:2.1.0]
at play.core.server.netty.PlayDefaultUpstreamHandler$$anon$2$$anonfun$handle$1.apply(PlayDefaultUpstreamHandler.scala:132) [play_2.10.jar:2.1.0]
at play.core.server.netty.PlayDefaultUpstreamHandler$$anon$2$$anonfun$handle$1.apply(PlayDefaultUpstreamHandler.scala:128) [play_2.10.jar:2.1.0]
at play.api.libs.concurrent.PlayPromise$$anonfun$extend1$1.apply(Promise.scala:113) [play_2.10.jar:2.1.0]
at play.api.libs.concurrent.PlayPromise$$anonfun$extend1$1.apply(Promise.scala:113) [play_2.10.jar:2.1.0]
java.lang.IllegalArgumentException: Invalid salt version
at org.mindrot.jbcrypt.BCrypt.hashpw(BCrypt.java:664) ~[jbcrypt-0.3m.jar:na]
at org.mindrot.jbcrypt.BCrypt.checkpw(BCrypt.java:763) ~[jbcrypt-0.3m.jar:na]
at model.operations.DistrictOperations.authenticate(DistrictOperations.java:24) ~[na:na]
at controllers.Application.authenticateDistrict(Application.java:26) ~[na:na]
at Routes$$anonfun$routes$1$$anonfun$applyOrElse$2$$anonfun$apply$2.apply(routes_routing.scala:133) ~[na:na]
at Routes$$anonfun$routes$1$$anonfun$applyOrElse$2$$anonfun$apply$2.apply(routes_routing.scala:133) ~[na:na]

我正在使用以下maven存储库:http://mvnrepository.com/artifact/org.mindrot/jbcrypt/0.3m

我的代码基于文档,因此

district.setPassword(BCrypt.hashpw(json.findPath("password").getTextValue(), BCrypt.gensalt()));    

用于保存密码(我还检查密码为空)

BCrypt.checkpw(password, d.getPassword());

检查输入的密码是否正确,其中password是String,d.getPassword()是哈希密码。

我不知道这是否是相关信息,但准确地说,我正在使用hibernate for ORM和PostgreSQL 8.4作为DB。

我有点被困在这里,所以我问是否有人可以帮助我。比你提前多了。

9 个答案:

答案 0 :(得分:13)

对于遇到相同异常的其他人,请检查您的BCrypt.checkpw参数是否正确。 (在我意识到我的愚蠢错误之前,我没有,因此发现了这个问题。)

或者当OP回答自己时,记录/调试哈希密码的值以仔细检查您实际上是在比较哈希密码!它应该是格式中的60个字符串 $2a$10$llw0G6IyibUob8h5XRt9xuRczaGdCm/AiV6SSjf5v78XS824EGbh.

答案 1 :(得分:12)

我很抱歉打扰这个问题。我在代码中只有一个错误,它将纯字符串保存到DB而不是BCrypted。它是从代码的其他部分调用的。

答案 2 :(得分:3)

我遇到了同样的问题;确保您的密码以散列格式而不是纯文本格式存储在数据库中。这是一个Bcrypt generator,用于将纯文本密码转换为Bcrypt哈希值。

答案 3 :(得分:0)

您必须确保第一个参数是明文,第二个参数是散列密码。 这是函数的声明:

 public static boolean checkpw(String plaintext, String hashed)

答案 4 :(得分:0)

如果您传递给addEventListener的'hash'值甚至不是可解密的值,BCrypt似乎会抛出红色提示

答案 5 :(得分:0)

jBcrypt太旧了,实际上没有维护。请考虑切换到该库的新实现,以处理新的$2y$版本。

我使用这个纯Java库https://github.com/patrickfav/bcrypt解决了这个问题,并将其添加到当前的Scala项目中。

使用以下功能,我终于可以验证由VERSION_2Y创建的哈希值:

  /**
    * Verifies an encrypted password against the expected value
    *
    * @link https://github.com/patrickfav/bcrypt
    * @param hash The hashed password (encypted with BCrypt version $2Y$)
    * @param password The unencrypted password string
    */
  private def verifyBcryptHash(hash: String, password: String): Boolean = {
    if (hash == null || hash.trim.isEmpty)
      false
    else
      BCrypt
        .verifyer()
        .verifyStrict(
          password.toCharArray(),
          hash.toCharArray(),
          BCrypt.Version.VERSION_2Y
        )
        .verified
  }

答案 6 :(得分:0)

就我而言,在插入db的过程中,我以{bcrypt}作为前缀。

实例

{bcrypt}$2a$12$Yb3YagKV8B3AXoY2p/Ldk.L2maVKfNlr2dedk4ZUs/YUlalS8EzYu

当我检索密码时,将返回包括prefix的整个值。因此,我从hashing值中排除了前缀。

String prefix= "{bcrypt}";

String hash_pw= user.getPassword().substring((prefix.length());

BCrypt.checkpw(loginRequest.getPassword(),hash_pw);

答案 7 :(得分:0)

你能不能拆分{bcrypt},并使用

尝试其他细节
BCrypt.checkpw("123", "$2a$10$lVPvO6zyyxEWEPlKBg5B3OTjUHGS4LZ2jlulWAUpOjGz3.helz9H2");

答案 8 :(得分:0)

就我而言,由于将 https://bcrypt-generator.com 中的散列密码应用到我服务器的 bcrypt 检查器(spring java 安全性)中,我收到了这个 salt 修订错误。然而,使用另一个相同的普通密码但从 https://www.javainuse.com/onlineBcrypt 散列,它工作并验证了密码。日志轮次配置相同(16)。

我认为我的情况是因为使用了不同的 bcrypt 编码器,尽管有些可能使用不同的编码器。

但是,如果 bcrypt 生成器和检查器来自同一个库,则可以确保散列密码不会出现此问题。