3

Tengo una pagina web en donde los usuarios se tienen que registrar, en la base de datos almaceno la contraseña de esta forma utilizando php

$password = $_POST['contraseña'];
$passHash = password_hash($password, PASSWORD_BCRYPT); //password encrypt

Todo funciona bien, pero la cuestión esta en que el login lo estoy desarrollando en java, así que necesito validar la contraseña que ingrese el usuario en el programa java, investigué un poco y encontré sobre la librería Bcrypt, intenté esto para comparar el hash que recupero de la base de datos con el hash que genera esta librería a la contraseña que ingrese el usuario (las mismas contraseñas):

String hash = rs.getString("password"); //password BD
String hashPassword = BCrypt.hashpw(password); //input
                
System.out.println(hash);
System.out.println(hashPassword);

Los resultados son estos: introducir la descripción de la imagen aquí

Presiento que estoy omitiendo algo, espero puedan ayudarme, gracias.

18
  • Pues deberías ver exactamente con qué parámetros crea la contraseña la librería de PHP y usar los mismos parámetros en tu librería de Java, ya que al utilizarlo sin parametrizar estás dependiendo de que ambos desarrolladores hayan decidido usar los mismos valores por defecto... y no suele ser así :)
    – Benito-B
    Commented el 11 dic. 2021 a las 10:49
  • Supuse que el algoritmo de encriptación Bcrypt sería igual en ambos, si investigué como funciona la librería de PHP pero nada relevante que me permita obtener el mismo hash con java
    – AdrMXR
    Commented el 11 dic. 2021 a las 10:53
  • Esto es lo que buscas: stackoverflow.com/questions/36480375/… Commented el 11 dic. 2021 a las 11:07
  • 1
    @JoséCarlosPHP Amigo tenías toda la razón, ya acabo de hacer lo que dijiste y efectivamente era eso, desde mi ignorancia pensé que los hash debían ser iguales y pues estaba aplicando mal mi logica, con el puro metodo de checkpw pasandole el password y el hash de la BD ya lo valida correctamente
    – AdrMXR
    Commented el 11 dic. 2021 a las 12:15
  • 1
    Además, también tenías razón sobre el campo de mi base de datos, tenía capacidad de 50 caracteres, le puse 100 y ahora si ya no lo corta
    – AdrMXR
    Commented el 11 dic. 2021 a las 12:15

1 respuesta 1

4

Primero, una cosa importante a tener en cuenta: no puedes validar un hash volviendo a encriptar la contraseña y comparando, porque esta forma de encriptación pone una salt aleatoria cada vez, de forma que nunca genera dos hash iguales para la misma contraseña. Eso servía cuando simplemente se encriptaba por ejemplo con md5, pero en este caso hay que usar un validador de hash, en PHP sería la función password_verify. Así que necesitas el equivalente en Java a password_verify.

Sin embargo, lo usas y no te funciona. Entonces, revisando tu ejemplo, veo algo raro. Los hashes generados en PHP con password_hash($password, PASSWORD_BCRYPT) miden 60 caracteres, sin embargo el de tu ejemplo es más corto. Ese hash ni siquiera lo vas a poder validar desde PHP, porque está cortado.

Es seguro que en tu aplicación se están cortando los hashes por alguna razón. Una muy probable es que el campo de la base de datos en el que guardas los hashes (las contraseñas encriptadas) tiene una capacidad menor de 60 caracteres.

Revisa eso y creo que te deberá funcionar la validación desde Java con BCrypt.checkpw().

boolean s = BCrypt.checkpw("password", hash);
1
  • 1
    Excelente, gracias por tu respuesta me ayudó mucho
    – AdrMXR
    Commented el 11 dic. 2021 a las 18:55

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.