ASP.NET WebForms项目SQL Server哈希密码存储及验证问题求助

核心问题：数据库字段长度不足 #

SHA256哈希生成的十六进制字符串固定为64个字符（256位 → 每4位对应1个十六进制字符，256/4=64），但你的数据表中pass字段定义为varchar(50)，插入时哈希字符串会被截断，导致后续登录验证时哈希值不匹配——这是两种实现都失效的直接原因。

完整解决方案 #

1. 修改数据库表结构 #

首先调整pass字段长度，同时为了密码安全，强烈建议添加盐值字段（防止彩虹表破解）：

ALTER TABLE signinup 
ALTER COLUMN pass varchar(64) NOT NULL;

-- 添加盐值字段（必加，提升安全性）
ALTER TABLE signinup 
ADD pass_salt varchar(32) NOT NULL;

2. 安全的加盐哈希实现 #

单纯的SHA256哈希不安全，必须为每个用户生成随机盐值，再对「密码+盐值」进行哈希：

// 生成随机盐值
private string GenerateSalt()
{
    byte[] saltBytes = new byte[16];
    using (var rng = new RNGCryptoServiceProvider())
    {
        rng.GetBytes(saltBytes);
    }
    return Convert.ToBase64String(saltBytes);
}

// 带盐的密码哈希方法
private string HashPasswordWithSalt(string password, string salt)
{
    using (SHA256 sha256 = SHA256.Create())
    {
        // 拼接密码和盐值，转换为字节数组
        byte[] passwordSaltBytes = Encoding.UTF8.GetBytes(password + salt);
        byte[] hashBytes = sha256.ComputeHash(passwordSaltBytes);
        // 转换为小写十六进制字符串（固定64位长度）
        return BitConverter.ToString(hashBytes).Replace("-", "").ToLower();
    }
}

3. 修正用户注册（插入数据）代码 #

用using语句自动释放数据库资源，避免泄漏；用SqlParameter.Add明确指定参数类型，替代AddWithValue避免类型匹配问题：

try
{
    string username = usernametextbox.Text.Trim();
    string mobile = mobiletextbox.Text.Trim();
    string plainPassword = passwordtextbox.Text.Trim();

    // 生成盐值并计算加盐哈希
    string salt = GenerateSalt();
    string hashedPassword = HashPasswordWithSalt(plainPassword, salt);

    using (SqlConnection con = new SqlConnection(strcon))
    {
        con.Open();
        string sql = "INSERT INTO signinup ([username], [mobile], [pass], [pass_salt]) VALUES (@username, @mobile, @pass, @pass_salt)";
        using (SqlCommand cmd = new SqlCommand(sql, con))
        {
            cmd.Parameters.Add("@username", SqlDbType.VarChar, 50).Value = username;
            cmd.Parameters.Add("@mobile", SqlDbType.VarChar, 50).Value = mobile;
            cmd.Parameters.Add("@pass", SqlDbType.VarChar, 64).Value = hashedPassword;
            cmd.Parameters.Add("@pass_salt", SqlDbType.VarChar, 32).Value = salt;

            cmd.ExecuteNonQuery();
        }
    }

    Response.Redirect("~/login.aspx");
}
catch (Exception ex)
{
    // 避免XSS风险，转义异常消息后弹出提示
    ClientScript.RegisterStartupScript(this.GetType(), "alert", $"alert('Error: {Server.HtmlEncode(ex.Message)}');", true);
}

4. 登录验证代码实现 #

登录时先根据用户名查询盐值和存储的哈希密码，再对输入密码加盐哈希后对比：

try
{
    string username = loginUsername.Text.Trim();
    string plainPassword = loginPassword.Text.Trim();

    string storedHash = string.Empty;
    string storedSalt = string.Empty;

    using (SqlConnection con = new SqlConnection(strcon))
    {
        con.Open();
        string sql = "SELECT pass, pass_salt FROM signinup WHERE username = @username";
        using (SqlCommand cmd = new SqlCommand(sql, con))
        {
            cmd.Parameters.Add("@username", SqlDbType.VarChar, 50).Value = username;
            using (SqlDataReader reader = cmd.ExecuteReader())
            {
                if (!reader.Read())
                {
                    ClientScript.RegisterStartupScript(this.GetType(), "alert", "alert('用户名或密码错误');", true);
                    return;
                }
                storedHash = reader["pass"].ToString();
                storedSalt = reader["pass_salt"].ToString();
            }
        }
    }

    // 对比输入密码的加盐哈希与存储的哈希
    string inputHash = HashPasswordWithSalt(plainPassword, storedSalt);
    if (inputHash.Equals(storedHash, StringComparison.OrdinalIgnoreCase))
    {
        Response.Redirect("~/default.aspx");
    }
    else
    {
        ClientScript.RegisterStartupScript(this.GetType(), "alert", "alert('用户名或密码错误');", true);
    }
}
catch (Exception ex)
{
    ClientScript.RegisterStartupScript(this.GetType(), "alert", $"alert('Error: {Server.HtmlEncode(ex.Message)}');", true);
}

额外注意事项 #

• 禁止纯哈希存储：单纯SHA256哈希易被彩虹表破解，加盐是基础安全要求。
• 弃用AddWithValue：该方法可能导致SQL执行计划不稳定，且易出现类型转换问题，务必明确指定参数类型和长度。
• 异常处理优化：原代码直接拼接JavaScript脚本存在XSS风险，需用Server.HtmlEncode转义用户可见的异常信息。

内容的提问来源于stack exchange，提问作者George Tonmoy