.NET 7 Web API Identity无法通过哈希密码登录求助

问题核心原因 #

ASP.NET Identity的PasswordSignInAsync方法会自动调用内置的PasswordHasher对传入的原始密码进行哈希加盐处理，再和数据库中ApplicationUser的PasswordHash字段值对比验证。你的问题出在两个关键点：

1. 你手动用自定义哈希逻辑生成密码哈希并存储，但Identity默认只认PasswordHash字段（而非你自定义的HashPassword字段）
2. 登录时要么提前哈希密码传给PasswordSignInAsync（导致Identity对哈希后的字符串二次哈希，结果不匹配），要么传原始密码（Identity用内置逻辑哈希，和你自定义存储的哈希值不匹配）

解决方案 #

方案1：改用Identity内置密码哈希机制（推荐，安全且省心） #

步骤1：修正用户创建逻辑

创建用户时，不要自己处理哈希，直接用Identity提供的方法生成并存储密码哈希：

// 示例：创建用户时的正确写法
var user = new ApplicationUser { UserName = username, Email = userEmail };
// CreateAsync会自动哈希密码并写入PasswordHash字段
var createResult = await _userManager.CreateAsync(user, rawPassword);

如果是手动更新密码：

// 用内置哈希器生成哈希
var hashedPassword = _userManager.PasswordHasher.HashPassword(user, rawPassword);
user.PasswordHash = hashedPassword;
await _userManager.UpdateAsync(user);

步骤2：修正登录控制器代码

直接传入原始密码给PasswordSignInAsync，不需要手动哈希：

[HttpPost]
[Route("/account/login")]
public async Task<IActionResult> Login(string username, string password)
{
    // 直接传原始密码，Identity会自动处理哈希验证
    var result = await _signInManager.PasswordSignInAsync(username, password, true, false);

    return result.Succeeded ? Ok(result) : BadRequest(result);
}

方案2：强制使用自定义哈希逻辑（仅在特殊需求下使用） #

如果必须保留自定义哈希算法，需要替换Identity的默认密码哈希器：

步骤1：实现自定义密码哈希器

public class CustomPasswordHasher : IPasswordHasher<ApplicationUser>
{
    // 你的自定义哈希方法
    private string PasswordHasher(string password)
    {
        // 这里写你的自定义哈希逻辑
        return YourCustomHashImplementation(password);
    }

    public string HashPassword(ApplicationUser user, string password)
    {
        return PasswordHasher(password);
    }

    public PasswordVerificationResult VerifyHashedPassword(ApplicationUser user, string hashedPassword, string providedPassword)
    {
        var providedHashed = PasswordHasher(providedPassword);
        return providedHashed == hashedPassword 
            ? PasswordVerificationResult.Success 
            : PasswordVerificationResult.Failed;
    }
}

步骤2：注册自定义哈希器到DI容器

在Program.cs中添加注册代码：

// 在AddIdentity之后添加
builder.Services.AddScoped<IPasswordHasher<ApplicationUser>, CustomPasswordHasher>();

步骤3：确保密码存储到正确字段

创建/更新用户时，将自定义哈希值写入ApplicationUser的PasswordHash字段（而非自定义的HashPassword），因为Identity默认读取该字段进行验证。

内容的提问来源于stack exchange，提问作者Morgan Bradford