Blazor服务端应用中PasswordHasher.VerifyPassword始终验证失败求助

核心问题：手动加盐与PasswordHasher内置逻辑冲突 #

你遇到的验证失败，本质是重复加盐导致的哈希不匹配。PasswordHasher.HashPassword方法本身会自动生成随机盐，并将盐嵌入到最终输出的哈希字符串中——你手动把密码和自定义盐拼接后再调用该方法，等于让PasswordHasher对「密码+自定义盐」这个复合字符串再次加盐哈希。

登录时你重复了拼接操作，但每次HashPassword生成的内置盐都是随机的，验证时用的是第一次哈希里的内置盐，自然无法匹配第二次的计算结果。

正确实现方式（推荐） #

完全不需要手动处理盐，PasswordHasher已经封装了安全的加盐哈希逻辑：

注册流程 #

// 直接传入原始密码，无需手动加盐
var hashedPassword = _passwordHasher.HashPassword(user, plainTextPassword);
// 只需要存储生成的哈希值即可，不用单独存盐
user.HashedPassword = hashedPassword;

登录流程 #

// 直接用输入的原始密码和存储的哈希值验证
var verificationResult = _passwordHasher.VerifyPassword(user, storedHashedPassword, inputPassword);
if (verificationResult == PasswordVerificationResult.Success)
{
    // 登录成功
}
else
{
    // 登录失败
}

若必须自定义加盐逻辑（不推荐） #

如果业务要求必须使用自定义盐，那就不能依赖PasswordHasher的自动加盐，需手动实现标准哈希逻辑（比如用Rfc2898DeriveBytes）：

注册时 #

// 生成随机盐
var salt = new byte[16];
using var rng = RandomNumberGenerator.Create();
rng.GetBytes(salt);

// 基于盐和密码生成哈希
using var pbkdf2 = new Rfc2898DeriveBytes(plainTextPassword, salt, 100000);
var hashBytes = pbkdf2.GetBytes(32);

// 将盐和哈希拼接存储（比如用Base64编码+分隔符）
var storedData = $"{Convert.ToBase64String(salt)}|{Convert.ToBase64String(hashBytes)}";
user.StoredPasswordData = storedData;

登录时 #

// 拆分存储的盐和哈希
var parts = user.StoredPasswordData.Split('|');
var salt = Convert.FromBase64String(parts[0]);
var storedHash = Convert.FromBase64String(parts[1]);

// 用相同盐生成输入密码的哈希
using var pbkdf2 = new Rfc2898DeriveBytes(inputPassword, salt, 100000);
var inputHash = pbkdf2.GetBytes(32);

// 固定时间比较哈希（防止计时攻击）
if (CryptographicOperations.FixedTimeEquals(inputHash, storedHash))
{
    // 登录成功
}
else
{
    // 登录失败
}

内容的提问来源于stack exchange，提问作者Brian McBride