.NET Core能否使用System.Web.Helpers.Crypto及适配方案

• 这个警告必须重视，存在实打实的运行风险。System.Web.Helpers.Crypto是只针对.NET Framework打包的组件，本身没有做.NET Core适配，你现在能装上去只是NuGet的兼容回退机制在起作用，不代表真的能正常跑。
• 这个包内部依赖大量System.Web下的传统API，这些API在.NET Core 3.1里要么直接砍掉了，要么实现逻辑和.NET Framework完全不一致，轻则启动时直接抛文件找不到、类型加载异常，重则密码哈希/校验逻辑出隐性问题——毕竟这部分是安全核心逻辑，真出问题就是用户登不上、密码校验绕过这类生产事故，哪怕本地调试临时跑通，后续部署、打补丁都可能炸，绝对不要靠抑制警告硬上。

完全不需要找第三方兼容包，.NET Core 3.1自带的类库就有完全对应的能力，是官方维护的实现，安全和兼容性都有保障：

• 对应命名空间是Microsoft.AspNetCore.Cryptography.KeyDerivation，只要你是Web API项目，默认引用的ASP.NET Core框架里就带这个，不需要额外装NuGet包。它实现的PBKDF2密码哈希逻辑和System.Web.Helpers.Crypto是同标准，默认参数的安全强度比旧版Crypto还高。
• 最简使用代码参考：

using Microsoft.AspNetCore.Cryptography.KeyDerivation;
using System.Security.Cryptography;

// 哈希明文密码
public string HashPassword(string plainPassword)
{
    // 生成随机盐
    byte[] salt = new byte[16];
    using var rng = RandomNumberGenerator.Create();
    rng.GetBytes(salt);

    // 派生哈希值
    byte[] hash = KeyDerivation.Pbkdf2(
        password: plainPassword,
        salt: salt,
        prf: KeyDerivationPrf.HMACSHA256,
        iterationCount: 10000,
        numBytesRequested: 32);

    // 把盐和哈希拼起来存到数据库即可
    return $"{Convert.ToBase64String(salt)}|{Convert.ToBase64String(hash)}";
}

// 校验输入密码是否匹配存储的哈希
public bool VerifyPassword(string inputPassword, string storedHashStr)
{
    var segments = storedHashStr.Split('|');
    var salt = Convert.FromBase64String(segments[0]);
    var storedHash = Convert.FromBase64String(segments[1]);

    byte[] calcHash = KeyDerivation.Pbkdf2(
        password: inputPassword,
        salt: salt,
        prf: KeyDerivationPrf.HMACSHA256,
        iterationCount: 10000,
        numBytesRequested: 32);

    return calcHash.SequenceEqual(storedHash);
}

如果你是老系统迁移，数据库里已经存了一堆旧版System.Web.Helpers.Crypto生成的哈希，也不用批量重置用户密码，只要把上面代码里的PRF改成KeyDerivationPrf.HMACSHA1、迭代次数改成1000，就能完全对齐旧版逻辑，平滑过渡。

内容的提问来源于stack exchange，提问作者user19329953