Grails密碼更改：只允許「新」密碼

Question

我需要提高建立在grails上的網站的安全性。

要求是當用戶更改其密碼時，它不應該從任何以前的N個密碼中進行選擇。

有沒有人知道這個模塊？我應該推出自己的？

任何想法/技巧將不勝感激。

在此先感謝

Answer 1

這不難推出自己的。

在保存之前利用GORM事件，檢查比較密碼並取消或者按照比較結果進行取消或繼續。

Answer 2

這取決於您的要求。有幾個安全插件可用，列表請參閱http://www.grails.org/Security 上的「提供登錄和頁面級安全性」標題如果您想要自己創建一個包含舊密碼的域類，請將其與特定用戶相關聯，如果新密碼位於存儲在您的域中的舊密碼列表中，不允許用戶起訴它。

Answer 3

要求是，當用戶更改密碼時，它不應該從任何以前的N個密碼中進行選擇。

請推回這個要求。這是無用的，並沒有提高安全性。每次你讓用戶改變密碼，你都會增加可能性，他們會簡單地把它寫下來並粘貼到他們的顯示器上。防止他們重複使用舊密碼使其變得更糟。

這是一個安全「最佳實踐」，如出血和過去曾是醫療最佳實踐;每個人都是出於無知而做的。