ruby-on-rails - 最灵活的 Rails 密码安全实现

Question

<分区>

Answer 1

我们使用设计安全扩展已有一段时间了。它有很多有趣的功能(例如密码历史记录、密码过期...)。

对于密码复杂性，我们想要一些更可配置的东西(在您的示例中:让客户选择他们想要的复杂性级别)。

因此我们根据分数推出了自己的解决方案:5 分中的 3 分(在您的示例中)意味着我们正在测试每个特性，如果找到则给一分。 如果总分等于或大于要求的分数，那么密码就可以了。

就代码而言，我们的验证如下所示:

validate :password_complexity

def password_complexity
 return if password.nil?

 if password.size < 8
   errors.add :password, "Must be at least 8 characters long."
   return
 end

 required_complexity = 3 # we're actually storing this in the configuration of each customer

 if !CheckPasswordComplexityService.new(password, required_complexity).valid?
   errors.add :password, "Your password does not match the security requirements."
 end
end

检查复杂性的服务如下所示:

class CheckPasswordComplexityService

  attr_reader :password, :required_complexity

  def initialize(password, required_complexity)
    @password = password
    @required_complexity = required_complexity
  end

  def valid?
    score = has_uppercase_letters? + has_digits? + has_extra_chars? + has_downcase_letters?

    score >= required_complexity
  end

  private

  def has_uppercase_letters?
    password.match(/[A-Z]/) ? 1 : 0
  end

  def has_digits?
    password.match(/\d/) ? 1 : 0
  end

  def has_extra_chars?
    password.match(/\W/) ? 1 : 0
  end

  def has_downcase_letters?
    password.match(/[a-z]{1}/) ? 1 : 0
  end
end

然后添加一些您要检查的新特征变得非常容易。