.NET应用连接PostgreSQL时遇FIPS加密算法验证错误求助

错误原因 #

这个异常的核心原因是Windows系统启用了FIPS（联邦信息处理标准）模式，要求应用使用经过FIPS验证的加密算法，但代码中FormsAuthentication.SetAuthCookie默认使用的哈希算法（如MD5）不符合FIPS标准，触发了验证错误。

解决方法 #

• 方法1：配置FormsAuthentication使用FIPS合规算法
  在项目的Web.config中添加或修改machineKey配置，指定合规的加密和哈希算法：

  <system.web>
    <machineKey validationKey="AutoGenerate,IsolateApps" 
                decryptionKey="AutoGenerate,IsolateApps" 
                validation="SHA256" 
                decryption="AES"/>
    <authentication mode="Forms">
      <forms loginUrl="~/Account/Login" timeout="2880" protection="All" />
    </authentication>
  </system.web>
  

  SHA256和AES均为FIPS认可的算法，配置后可解决加密验证问题。

• 方法2：临时禁用Windows FIPS模式（仅开发环境）
  若为开发调试场景，可临时关闭FIPS模式：

  1. 运行gpedit.msc打开组策略编辑器
  2. 导航至计算机配置>Windows设置>安全设置>本地策略>安全选项
  3. 找到系统加密：使用FIPS兼容的算法来加密、哈希和签名，设置为已禁用
  4. 重启电脑生效

• 方法3：替换为ASP.NET Identity（推荐长期方案）
  FormsAuthentication属于较老旧的身份验证机制，ASP.NET Identity默认使用FIPS合规的加密算法，同时提供更安全、灵活的身份管理能力，适合现代应用的长期迭代。

紧急安全修复：解决SQL注入风险 #

代码直接将用户输入拼接进SQL语句，存在极高的SQL注入风险，必须立即改为参数化查询：

string query = "select userlogin,password from \"MRSACGEOTAG\".\"loginadminmaster\" where userlogin = @userlogin and password = @password";
NpgsqlCommand cmd = new NpgsqlCommand(query, con);
cmd.Parameters.AddWithValue("@userlogin", login.userlogin);
cmd.Parameters.AddWithValue("@password", login.password);

另外，禁止明文存储密码，应在数据库中存储密码的加盐哈希值（如使用BCrypt算法），验证时对用户输入的密码进行哈希后再与数据库值对比。

内容的提问来源于stack exchange，提问作者Parimal Jain