S08L07 - 在 Spring Boot 中更改密码

html

在 Spring Boot 中实现密码更改功能：全面指南
目录

介绍 ................................................. 1
设置您的 Spring Boot 项目 ............. 3
更新账户模型 ............................. 6
实现账户控制器 ................ 10
处理密码重置令牌 .......................... 14
创建密码更改视图 .................... 18
测试密码更改功能 ........ 22
结论 .......................................................... 26


介绍
在当今的数字时代，确保用户账户的安全至关重要。安全性的一个关键方面是实现强大的密码管理功能，例如密码重置和更改功能。本电子书提供了在 Spring Boot 应用程序中实现密码更改功能的逐步指南，适合初学者和具备基本知识的开发人员。
重要性和目的
允许用户更改他们的密码可以增强账户安全性和用户信任。这一功能使用户能够在发生安全漏洞或忘记密码的情况下更新他们的凭证，确保他们的个人信息持续受到保护。
优缺点
优点：

增强安全性：定期更新密码可以减少未经授权访问的风险。
用户信任：提供简便的密码管理可以提高用户对您应用程序的信心。
合规性：符合安全标准和监管要求。

缺点：

实现复杂性：需要仔细处理令牌和安全通信。
用户体验：功能实现不当可能会让用户感到沮丧。

何时何地使用
在管理用户账户的应用程序中实现密码更改功能，例如电子商务平台、社交网络和企业软件。每当涉及用户认证时，确保持续的账户安全是必不可少的。
比较表：密码重置 vs. 密码更改


功能
Password Reset
Password Change


目的
在忘记密码时恢复访问
在登录状态下更新密码


触发
用户通过电子邮件链接发起重置
用户在账户设置中发起更改


令牌使用
使用通过电子邮件发送的重置令牌
如果用户已认证，可能不需要令牌


安全考虑
高，因为涉及电子邮件验证
中等，需要现有认证


使用场景表：实现密码功能的场景


场景
适用功能


用户忘记密码
Password Reset


用户主动更新密码
Password Change


安全漏洞需要立即更新密码
Password Reset


定期账户维护
Password Change



设置您的 Spring Boot 项目
在深入实现密码更改功能之前，请确保您的 Spring Boot 项目已正确设置。
前提条件

Java Development Kit (JDK)：确保已安装 JDK 8 或更高版本。
Maven 或 Gradle：用于项目依赖管理。
IDE：IntelliJ IDEA、Eclipse 或任何首选的 Java IDE。
数据库：MySQL、PostgreSQL 或任何关系数据库。

创建 Spring Boot 应用程序

初始化项目：

使用 Spring Initializr 生成一个新的 Spring Boot 项目。
选择依赖项：

Spring Web
Spring Data JPA
Thymeleaf
Spring Security
H2 Database（用于开发目的）




导入项目：

将生成的项目导入到您的 IDE 中。


配置数据库连接：

使用您的数据库凭据更新 application.properties 文件。







		
		
			
			
Java
			
			
spring.datasource.url=jdbc:mysql://localhost:3306/blogdb
spring.datasource.username=root
spring.datasource.password=yourpassword
spring.jpa.hibernate.ddl-auto=update
spring.jpa.show-sql=true

			
				
					
				
					1
2
3
4
5
6
7
				
						 
spring.datasource.url=jdbc:mysql://localhost:3306/blogdb
spring.datasource.username=root
spring.datasource.password=yourpassword
spring.jpa.hibernate.ddl-auto=update
spring.jpa.show-sql=true
 
					
				
			
		


项目结构概览
了解项目结构对于高效导航和实现至关重要。




		
		
			
			
Java
			
			
SpringBlog/
├── src/
│   ├── main/
│   │   ├── java/org/studyeasy/SpringBlog/
│   │   │   ├── config/
│   │   │   ├── controller/
│   │   │   ├── models/
│   │   │   ├── repositories/
│   │   │   ├── services/
│   │   │   └── SpringBlogApplication.java
│   │   ├── resources/
│   │   │   ├── static/
│   │   │   └── templates/
└── pom.xml

			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
				
						 
SpringBlog/
├── src/
│   ├── main/
│   │   ├── java/org/studyeasy/SpringBlog/
│   │   │   ├── config/
│   │   │   ├── controller/
│   │   │   ├── models/
│   │   │   ├── repositories/
│   │   │   ├── services/
│   │   │   └── SpringBlogApplication.java
│   │   ├── resources/
│   │   │   ├── static/
│   │   │   └── templates/
└── pom.xml
 
					
				
			
		



更新账户模型
Account 模型表示您应用程序中的用户账户。为了支持密码更改功能，您需要更新此模型以包含密码重置令牌的字段。
添加令牌字段

导航到 Account.java 模型：





		
		
			
			
Java
			
			
package org.studyeasy.SpringBlog.models;

import javax.persistence.*;
import java.time.LocalDateTime;

@Entity
public class Account {
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;

    private String email;
    private String password;

    @Column(name = "token")
    private String passwordResetToken;

    private LocalDateTime tokenExpiry;

    // Getters and Setters
}

			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
				
						 
package org.studyeasy.SpringBlog.models;
 
import javax.persistence.*;
import java.time.LocalDateTime;
 
@Entity
public class Account {
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;
 
    private String email;
    private String password;
 
    @Column(name = "token")
    private String passwordResetToken;
 
    private LocalDateTime tokenExpiry;
 
    // Getters and Setters
}
 
					
				
			
		



解释：

passwordResetToken：存储发送到用户电子邮件的唯一令牌以进行密码重置。
tokenExpiry：记录令牌的过期时间以确保安全。



迁移数据库
更新模型后，确保数据库架构反映这些更改。

运行应用程序：

Spring Boot 根据 ddl-auto=update 属性自动更新数据库架构。


验证更改：

访问您的数据库，确认 Account 表现在包含 token 和 token_expiry 列。




实现账户控制器
AccountController 管理与用户相关的操作，包括密码重置和更改功能。
添加更改密码端点

导航到 AccountController.java：





		
		
			
			
Java
			
			
package org.studyeasy.SpringBlog.controller;

import org.studyeasy.SpringBlog.services.AccountService;
import org.studyeasy.SpringBlog.models.Account;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Controller;
import org.springframework.ui.Model;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RequestParam;
import org.springframework.web.servlet.mvc.support.RedirectAttributes;

import java.time.LocalDateTime;
import java.util.Optional;

@Controller
public class AccountController {

    @Autowired
    private AccountService accountService;

    @GetMapping("/change-password")
    public String changePasswordPage(
            @RequestParam("token") String token,
            Model model,
            RedirectAttributes redirectAttributes) {

        Optional<Account> optionalAccount = accountService.findByToken(token);

        if (optionalAccount.isPresent()) {
            Account account = optionalAccount.get();
            Long accountId = account.getId();

            LocalDateTime now = LocalDateTime.now();
            if (now.isAfter(account.getTokenExpiry())) {
                redirectAttributes.addFlashAttribute("error", "Token expired");
                return "redirect:/forgot-password";
            }

            model.addAttribute("accountId", accountId);
            return "account_views/change_password";
        } else {
            redirectAttributes.addFlashAttribute("error", "Invalid token");
            return "redirect:/forgot-password";
        }
    }

    // Additional methods...
}

			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
				
						 
package org.studyeasy.SpringBlog.controller;
 
import org.studyeasy.SpringBlog.services.AccountService;
import org.studyeasy.SpringBlog.models.Account;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Controller;
import org.springframework.ui.Model;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RequestParam;
import org.springframework.web.servlet.mvc.support.RedirectAttributes;
 
import java.time.LocalDateTime;
import java.util.Optional;
 
@Controller
public class AccountController {
 
    @Autowired
    private AccountService accountService;
 
    @GetMapping("/change-password")
    public String changePasswordPage(
            @RequestParam("token") String token,
            Model model,
            RedirectAttributes redirectAttributes) {
 
        Optional<Account> optionalAccount = accountService.findByToken(token);
 
        if (optionalAccount.isPresent()) {
            Account account = optionalAccount.get();
            Long accountId = account.getId();
 
            LocalDateTime now = LocalDateTime.now();
            if (now.isAfter(account.getTokenExpiry())) {
                redirectAttributes.addFlashAttribute("error", "Token expired");
                return "redirect:/forgot-password";
            }
 
            model.addAttribute("accountId", accountId);
            return "account_views/change_password";
        } else {
            redirectAttributes.addFlashAttribute("error", "Invalid token");
            return "redirect:/forgot-password";
        }
    }
 
    // Additional methods...
}
 
					
				
			
		



解释：

端点：/change-password 处理密码更改的 GET 请求。
参数：

token：通过电子邮件接收的密码重置令牌。


过程：

验证令牌：检查令牌是否存在且未过期。
失败时重定向：如果无效或过期，重定向到忘记密码页面并显示错误消息。
加载视图：如果有效，加载更改密码视图。





关键概念和术语

@Controller：表示此类在 Spring MVC 框架中作为控制器。
@GetMapping：将 HTTP GET 请求映射到特定处理方法。
Model：便于向视图传递数据。
RedirectAttributes：允许在重定向场景中传递属性。
Optional<Account>：封装了可能缺失的 Account 对象。


处理密码重置令牌
管理密码重置令牌对于密码更改功能的安全性和功能性至关重要。
创建令牌生成方法

导航到 AccountService.java：





		
		
			
			
Java
			
			
package org.studyeasy.SpringBlog.services;

import org.studyeasy.SpringBlog.models.Account;
import org.studyeasy.SpringBlog.repositories.AccountRepository;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Service;

import java.util.Optional;
import java.util.UUID;

@Service
public class AccountService {

    @Autowired
    private AccountRepository accountRepository;

    public Optional<Account> findByToken(String token) {
        return accountRepository.findByPasswordResetToken(token);
    }

    public void createPasswordResetToken(Account account) {
        String token = UUID.randomUUID().toString();
        account.setPasswordResetToken(token);
        account.setTokenExpiry(LocalDateTime.now().plusHours(24));
        accountRepository.save(account);
        // Send email with token...
    }

    // Additional methods...
}

			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
				
						 
package org.studyeasy.SpringBlog.services;
 
import org.studyeasy.SpringBlog.models.Account;
import org.studyeasy.SpringBlog.repositories.AccountRepository;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Service;
 
import java.util.Optional;
import java.util.UUID;
 
@Service
public class AccountService {
 
    @Autowired
    private AccountRepository accountRepository;
 
    public Optional<Account> findByToken(String token) {
        return accountRepository.findByPasswordResetToken(token);
    }
 
    public void createPasswordResetToken(Account account) {
        String token = UUID.randomUUID().toString();
        account.setPasswordResetToken(token);
        account.setTokenExpiry(LocalDateTime.now().plusHours(24));
        accountRepository.save(account);
        // Send email with token...
    }
 
    // Additional methods...
}
 
					
				
			
		



解释：

findByToken：根据提供的令牌检索 Account。
createPasswordResetToken：生成唯一令牌，设置其过期时间，并将其保存到账户中。此外，它还启动通过电子邮件发送令牌的过程。



用于令牌查找的仓库方法

导航到 AccountRepository.java：





		
		
			
			
Java
			
			
package org.studyeasy.SpringBlog.repositories;

import org.studyeasy.SpringBlog.models.Account;
import org.springframework.data.jpa.repository.JpaRepository;

import java.util.Optional;

public interface AccountRepository extends JpaRepository<Account, Long> {
    Optional<Account> findByPasswordResetToken(String token);
}

			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
12
				
						 
package org.studyeasy.SpringBlog.repositories;
 
import org.studyeasy.SpringBlog.models.Account;
import org.springframework.data.jpa.repository.JpaRepository;
 
import java.util.Optional;
 
public interface AccountRepository extends JpaRepository<Account, Long> {
    Optional<Account> findByPasswordResetToken(String token);
}
 
					
				
			
		



解释：

findByPasswordResetToken：遵循 Spring Data JPA 命名规范的自定义方法，用于通过密码重置令牌查找账户。



安全考虑

令牌唯一性：确保令牌是唯一且随机的，以防止被猜测。
令牌过期：设置合理的过期时间（例如，24 小时）以限制漏洞窗口。
安全存储：将令牌安全地存储在数据库中，可能使用哈希增加安全性。


创建密码更改视图
视图呈现用于输入新密码的用户界面。使用 Thymeleaf 模板，您可以创建一个用户友好的表单。
设计 change_password.html 模板

导航到 src/main/resources/templates/account_views/change_password.html：





		
		
			
			
Java
			
			
<!DOCTYPE html>
<html xmlns:th="http://www.thymeleaf.org">
<head>
    <title>Change Password</title>
    <link rel="stylesheet" th:href="@{/css/style.css}">
</head>
<body>
    <div class="container">
        <h2>更改您的密码</h2>
        <form th:action="@{/update-password}" method="post">
            <input type="hidden" th:name="accountId" th:value="${accountId}" />
            
            <div class="form-group">
                <label for="newPassword">新密码：</label>
                <input type="password" class="form-control" id="newPassword" name="newPassword" required>
            </div>

            <div class="form-group">
                <label for="confirmPassword">确认密码：</label>
                <input type="password" class="form-control" id="confirmPassword" name="confirmPassword" required>
            </div>

            <button type="submit" class="btn btn-primary">更新密码</button>
        </form>
    </div>
    <script th:src="@{/js/jquery-3.4.1.min.js}"></script>
    <script th:src="@{/js/bootstrap.js}"></script>
</body>
</html>

			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
				
						 
<!DOCTYPE html>
<html xmlns:th="http://www.thymeleaf.org">
<head>
    <title>Change Password</title>
    <link rel="stylesheet" th:href="@{/css/style.css}">
</head>
<body>
    <div class="container">
        <h2>更改您的密码</h2>
        <form th:action="@{/update-password}" method="post">
            <input type="hidden" th:name="accountId" th:value="${accountId}" />
            
            <div class="form-group">
                <label for="newPassword">新密码：</label>
                <input type="password" class="form-control" id="newPassword" name="newPassword" required>
            </div>
 
            <div class="form-group">
                <label for="confirmPassword">确认密码：</label>
                <input type="password" class="form-control" id="confirmPassword" name="confirmPassword" required>
            </div>
 
            <button type="submit" class="btn btn-primary">更新密码</button>
        </form>
    </div>
    <script th:src="@{/js/jquery-3.4.1.min.js}"></script>
    <script th:src="@{/js/bootstrap.js}"></script>
</body>
</html>
 
					
				
			
		


图示：密码更改工作流程




		
		
			
			
Java
			
			
graph TD;
    A[用户请求更改密码] --> B[系统生成令牌]
    B --> C[通过电子邮件发送令牌]
    C --> D[用户点击重置链接]
    D --> E[验证令牌]
    E --> F[显示密码更改表单]
    F --> G[用户提交新密码]
    G --> H[在数据库中更新密码]
    H --> I[确认消息]

			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
				
						 
graph TD;
    A[用户请求更改密码] --> B[系统生成令牌]
    B --> C[通过电子邮件发送令牌]
    C --> D[用户点击重置链接]
    D --> E[验证令牌]
    E --> F[显示密码更改表单]
    F --> G[用户提交新密码]
    G --> H[在数据库中更新密码]
    H --> I[确认消息]
 
					
				
			
		


关键特性

用户友好的界面：简洁直观的设计，易于使用。
验证：确保新密码符合安全标准，并且两个密码字段匹配。
反馈机制：在密码更新成功或过程中出现错误时，通知用户。


测试密码更改功能
在实现密码更改功能后，彻底测试以确保其可靠性和安全性。
测试步骤

发起密码重置：

导航到忘记密码页面。
输入注册的电子邮件地址。
确保收到包含有效令牌的重置链接的电子邮件。


访问重置链接：

点击电子邮件中的链接。
验证如果令牌有效，密码更改视图是否正确加载。
尝试使用无效或过期的令牌以确认正确的错误处理。


提交新密码：

输入新密码并确认。
提交表单，确保密码已在数据库中更新。
尝试使用新密码登录以验证更改。


边缘情况：

使用不匹配的密码进行测试以检查验证。
尝试多次密码重置请求以确保令牌的唯一性和处理。



示例输出
成功更改密码后，用户应看到类似以下的确认消息：




		
		
			
			
Java
			
			
您的密码已成功更新。您现在可以使用新凭证登录。

			
				
					
				
					1
2
3
				
						 
您的密码已成功更新。您现在可以使用新凭证登录。
 
					
				
			
		


带注释的代码片段

在 AccountController.java 中更新密码：





		
		
			
			
Java
			
			
@PostMapping("/update-password")
public String updatePassword(
        @RequestParam("accountId") Long accountId,
        @RequestParam("newPassword") String newPassword,
        @RequestParam("confirmPassword") String confirmPassword,
        RedirectAttributes redirectAttributes) {

    if (!newPassword.equals(confirmPassword)) {
        redirectAttributes.addFlashAttribute("error", "Passwords do not match");
        return "redirect:/change-password?token=" + token;
    }

    Optional<Account> optionalAccount = accountService.findById(accountId);
    if (optionalAccount.isPresent()) {
        Account account = optionalAccount.get();
        account.setPassword(passwordEncoder.encode(newPassword));
        account.setPasswordResetToken(null);
        account.setTokenExpiry(null);
        accountService.save(account);
        redirectAttributes.addFlashAttribute("success", "Password updated successfully");
        return "redirect:/login";
    } else {
        redirectAttributes.addFlashAttribute("error", "Account not found");
        return "redirect:/forgot-password";
    }
}

			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
				
						 
@PostMapping("/update-password")
public String updatePassword(
        @RequestParam("accountId") Long accountId,
        @RequestParam("newPassword") String newPassword,
        @RequestParam("confirmPassword") String confirmPassword,
        RedirectAttributes redirectAttributes) {
 
    if (!newPassword.equals(confirmPassword)) {
        redirectAttributes.addFlashAttribute("error", "Passwords do not match");
        return "redirect:/change-password?token=" + token;
    }
 
    Optional<Account> optionalAccount = accountService.findById(accountId);
    if (optionalAccount.isPresent()) {
        Account account = optionalAccount.get();
        account.setPassword(passwordEncoder.encode(newPassword));
        account.setPasswordResetToken(null);
        account.setTokenExpiry(null);
        accountService.save(account);
        redirectAttributes.addFlashAttribute("success", "Password updated successfully");
        return "redirect:/login";
    } else {
        redirectAttributes.addFlashAttribute("error", "Account not found");
        return "redirect:/forgot-password";
    }
}
 
					
				
			
		



解释：

密码匹配：确保新密码和确认密码匹配。
密码编码：使用 passwordEncoder 安全地哈希新密码后再存储。
令牌失效：在成功更新密码后清除重置令牌及其过期时间。
用户反馈：根据操作结果提供适当的成功或错误消息。




结论
在 Spring Boot 应用程序中实现密码更改功能是确保用户账户安全和提升整体用户体验的关键步骤。本指南提供了全面的操作流程，从设置项目和更新账户模型，到实现控制器、处理令牌、创建视图和测试功能。
关键要点

安全第一：在处理用户凭证和重置令牌时始终优先考虑安全性。
用户体验：设计直观且响应迅速的界面，以促进无缝的密码管理。
彻底测试：定期测试所有功能以确保其可靠性和安全性。

通过遵循本电子书中概述的步骤，您可以自信地在 Spring Boot 应用程序中实现安全高效的密码更改功能。
关键词：Spring Boot password change, Spring Boot password reset, Spring Security, password reset token, account security, Spring Boot tutorial, user authentication, Spring Data JPA, Thymeleaf forms, password update functionality.
注意：本文由 AI 生成。
功能	Password Reset	Password Change
目的	在忘记密码时恢复访问	在登录状态下更新密码
触发	用户通过电子邮件链接发起重置	用户在账户设置中发起更改
令牌使用	使用通过电子邮件发送的重置令牌	如果用户已认证，可能不需要令牌
安全考虑	高，因为涉及电子邮件验证	中等，需要现有认证
场景	适用功能
用户忘记密码	Password Reset
用户主动更新密码	Password Change
安全漏洞需要立即更新密码	Password Reset
定期账户维护	Password Change