如何让Blazor Server将页面密码以哈希值形式传递至处理器？

问题根源 #

[DataType(DataType.Password)]属性的作用仅为：

• 告知Blazor将输入框渲染为密码类型（隐藏输入内容）
• 生成对应的验证提示文本
  不会对密码值进行自动哈希处理，所以你在HandleValidSubmit中获取到原始密码是正常行为。

正确处理方式（基于ASP.NET Core Identity） #

如果你使用的是ASP.NET Core Identity框架，无需手动哈希密码：SignInManager.PasswordSignInAsync方法会自动调用UserManager的密码验证逻辑，将你传入的原始密码与数据库中存储的加盐哈希密码进行比对，无需提前处理。

若需手动哈希密码（自定义场景） #

如果你的业务场景要求在提交到验证逻辑前先哈希密码，可通过以下步骤实现：

1. 注入UserManager<IdentityUser>（它内置了安全的密码哈希器）
2. 在提交方法中使用PasswordHasher对原始密码进行哈希

修改后的完整代码示例：

@inject SignInManager<IdentityUser> SignInManager
@inject UserManager<IdentityUser> UserManager
@inject NavigationManager navManager;

<EditForm Model="@loginModel" OnValidSubmit="@HandleValidSubmit">
<DataAnnotationsValidator />
<ValidationSummary />
    <div class="mb-3">
        <InputText @bind-Value="@loginModel.Email"
                   placeholder="Email"
                   id="email"
                   type="email"
                   class="form-control" />
    </div>
    <div class="mb-3">
        <InputText @bind-Value="@loginModel.Password"
                   placeholder="Password"
                   id="password"
                   type="password"
                   class="form-control" />
    </div>
    <div class="mb-3">
        <input type="submit" value="LogIn" />
    </div>
</EditForm>
     
@code{
    public class LoginModel
    {
        [Required]
        [DataType(DataType.EmailAddress)]
        [EmailAddress(ErrorMessage = "邮箱格式无效")]
        public string? Email { get; set; }

        [Required]
        [DataType(DataType.Password)]
        [MinLength(6, ErrorMessage = "密码最小长度为6位")]
        public string? Password { get; set; }
    }

    private LoginModel loginModel = new LoginModel();
    private string LoginError = "";

    private async Task HandleValidSubmit()
    {
        // 手动哈希密码（仅在自定义场景下使用）
        var user = await UserManager.FindByEmailAsync(loginModel.Email);
        if (user != null)
        {
            string hashedPassword = UserManager.PasswordHasher.HashPassword(user, loginModel.Password);
            
            // 此处可使用hashedPassword进行后续自定义处理
            // 注意：如果仍使用SignInManager标准验证，无需传入哈希后的密码，直接传原始密码即可
        }

        // 标准Identity登录流程，无需手动哈希
        var result = await SignInManager.PasswordSignInAsync(
            loginModel.Email, loginModel.Password, false, lockoutOnFailure: true);

        if (result.Succeeded)
            navManager.NavigateTo("/");
        else if (result.IsLockedOut)
            LoginError = "账户已锁定";
        else
            LoginError = "邮箱或密码无效";
    }
}

重要注意事项 #

• 永远不要使用MD5、SHA1等无加盐的哈希算法处理密码，Identity的PasswordHasher采用加盐哈希，安全性更高
• Blazor Server中输入的密码通过SignalR加密传输到服务器，无需在客户端进行哈希处理，服务器端哈希是最佳实践

内容的提问来源于stack exchange，提问作者Pavel Rembrant