WSO2IS

Question

我们打算更改 user-mgt.xml 文件的摘要属性以更改我们的密码存储方式 (WSO2IS 5.3.0)

...
            <Property name="PasswordDigest">SHA</Property>
            <Property name="passwordHashMethod">SHA</Property>
            <Property name="StoreSaltedPassword">false</Property> 
...

我很好奇 WSO2IS 是否会自动处理现有用户的升级，或者我是否需要遵循类似于概述的过程 here。

编辑：我还会注意到我们也将开始加盐密码。到目前为止，我的方法（再次假设 wso2 不会自动处理此问题）将是添加一个新的本地身份验证器，该身份验证器将在基本身份验证器之前更新无盐密码。

Answer 1

编写自定义本地身份验证器可能不是您的最佳解决方案，但您有以下选项可以满足给定要求。

使用新的 PasswordDigest 配置辅助用户存储， passwordHashMethod 值。新用户需要添加到secondary 用户商店。在身份验证期间，将对旧用户进行身份验证针对主要用户存储和新用户将进行身份验证针对二级用户存储。

请注意 PasswordDigest 将 JDBC 用户存储和 passwordHashMethod 将受到影响在 LDAP 用户存储上。

老用户可以发起忘记密码或者找回密码由于认证失败流
如果您使用的是 JDBC 用户存储管理器，您可以编写简单的找回旧密码并用新密码恢复的程序加密。（Table UM_USER 列 UM_USER_PASSWORD 在商店数据库中）

WSO2IS - 为现有部署升级 PasswordDigest 属性

WSO2IS - Upgrading PasswordDigest property for existing deployment

wso2