如何在ASP.NET Core 6中验证旧Identity 2.0表的哈希密码

首先要明确：你不需要生成和数据库中完全一致的哈希值来验证密码，因为Identity V2的PasswordHasher每次生成哈希时会使用随机盐，相同密码每次生成的哈希本就不同。正确的做法是使用VerifyHashedPassword方法来验证输入密码与数据库中存储的哈希是否匹配。

正确的验证流程 #

在.NET 6中，使用兼容Identity V2模式的PasswordHasher来验证密码，步骤如下：

1. 配置PasswordHasher为V2兼容模式：

var hasherOptions = new PasswordHasherOptions
{
    CompatibilityMode = PasswordHasherCompatibilityMode.IdentityV2
};
var hasher = new PasswordHasher<AspNetUser>(new OptionsWrapper<PasswordHasherOptions>(hasherOptions));

2. 从数据库获取用户的PasswordHash，调用验证方法：

// 从数据库查询目标用户
var user = await _dbContext.AspNetUsers.FirstOrDefaultAsync(u => u.UserName == inputUserName);
if (user == null)
{
    // 用户不存在
    return false;
}

// 验证密码：返回Success则表示验证通过
var verificationResult = hasher.VerifyHashedPassword(user, user.PasswordHash, inputPassword);
return verificationResult == PasswordVerificationResult.Success;

为什么你之前的生成哈希方法无效？ #

• Identity V2的PasswordHasher生成哈希时会随机生成盐值，所以相同密码每次生成的哈希字符串必然不同，直接对比新生成的哈希和数据库中的旧哈希没有意义。
• 若你确实需要复现旧系统的哈希生成逻辑，需确认旧系统是否修改了PasswordHasher的默认参数：
  • 检查旧系统的UserManager配置，是否自定义了迭代次数、盐长度等参数（默认迭代次数为1000，盐长度16字节，子密钥长度32字节）。
  • 确认旧系统是否使用了自定义的PasswordHasher实现（比如替换了默认的PBKDF2算法）。

额外排查点 #

• 检查数据库中PasswordHash的格式是否符合Identity V2规范：V2哈希格式为{0}{salt}{subkey}，其中0是版本标识，后续是Base64编码的盐和子密钥组合。若格式不符，说明旧系统存在自定义修改。
• 确认输入密码的大小写、特殊字符与旧系统创建用户时完全一致，避免输入错误导致验证失败。

内容的提问来源于stack exchange，提问作者Fernando Gómez