Keycloak自定义PasswordHashProvider，每个连接上的salt更改

基础概念

Keycloak是一个开源的身份和访问管理解决方案，它提供了用户认证、授权、单点登录（SSO）等功能。PasswordHashProvider是Keycloak中用于处理密码哈希的接口，允许开发者自定义密码的哈希算法和盐（salt）的生成方式。

类型

Keycloak支持多种类型的PasswordHashProvider，包括但不限于：

BCrypt：一种广泛使用的强哈希算法。
PBKDF2：基于密码的密钥派生函数2，可以配置迭代次数和盐的长度。
SCRYPT：一种更现代的哈希算法，旨在抵抗硬件加速攻击。

应用场景

高安全性需求：在需要极高安全性的系统中，使用自定义的PasswordHashProvider可以确保密码存储的安全性。
兼容性问题：在迁移用户数据或与其他系统集成时，可能需要自定义哈希算法以保持密码的兼容性。
特定业务需求：根据业务需求，可能需要实现特定的哈希算法或盐生成策略。

自定义PasswordHashProvider示例

以下是一个简单的示例，展示如何在Keycloak中自定义一个PasswordHashProvider，并在每个连接上更改盐：

import org.keycloak.models.PasswordPolicy;
import org.keycloak.models.RealmModel;
import org.keycloak.models.UserModel;
import org.keycloak.provider.ProviderConfigProperty;
import org.keycloak.storage.password.PasswordHashProvider;
import org.keycloak.storage.password.PasswordHashProviderFactory;
import org.keycloak.storage.password.PasswordHasher;

import java.util.ArrayList;
import java.util.List;
import java.util.Map;
import java.util.SecureRandom;

public class CustomPasswordHashProvider implements PasswordHashProvider, PasswordHashProviderFactory {

    private static final String ID = "custom-password-hash-provider";
    private static final List<ProviderConfigProperty> CONFIG_PROPERTIES = new ArrayList<>();

    static {
        CONFIG_PROPERTIES.add(new ProviderConfigProperty("saltLength", "Salt Length", "integer", "16", "Salt length for the custom hash provider"));
    }

    @Override
    public void init(RealmModel realm) {
        // Initialization code here
    }

    @Override
    public void postInit(RealmModel realm) {
        // Post-initialization code here
    }

    @Override
    public String getId() {
        return ID;
    }

    @Override
    public boolean supportsHashType(String hashType) {
        return true; // Support all hash types
    }

    @Override
    public PasswordHasher getPasswordHasher() {
        return new PasswordHasher() {
            private final SecureRandom random = new SecureRandom();

            @Override
            public String hash(String password) {
                byte[] salt = new byte[Integer.parseInt(getConfig().getProperty("saltLength", "16"))];
                random.nextBytes(salt);
                // Implement your custom hashing algorithm here
                return "customHash(" + new String(salt) + "," + password + ")";
            }

            @Override
            public boolean verify(String rawPassword, String hashedPassword) {
                // Implement verification logic here
                return hashedPassword.equals(hash(rawPassword));
            }

            @Override
            public boolean needsRehash(String hashedPassword) {
                return false; // Always rehash if needed
            }
        };
    }

    @Override
    public void close() {
        // Cleanup code here
    }

    @Override
    public String getDisplayType() {
        return "Custom Password Hash Provider";
    }

    @Override
    public String getHelpText() {
        return "A custom password hash provider that changes the salt on each connection.";
    }

    @Override
    public List<ProviderConfigProperty> getConfigProperties() {
        return CONFIG_PROPERTIES;
    }

    @Override
    public Map<String, String> getDefaultConfig() {
        return Map.of("saltLength", "16");
    }
}