ASP.NET Core 3.1认证Cookie仅存用户名的安全实现及相关疑问

先给你梳理下：你现在用ASP.NET Core 3.1做了Cookie认证，但没搭完整的Identity框架，想要实现「关闭浏览器就失效登录状态，但登录表单能自动填充用户名」的需求，还关心安全性问题。咱们逐个解决你的疑问：

问题1：能否让Cookie仅存用户名，关闭浏览器后需重新登录，但登录表单可读取用户名？ #

完全可以！不过得先理清一个关键点：认证Cookie和记住用户名的Cookie是两回事，不能混在一起用。

• 认证Cookie：它的作用是维持登录状态，如果你希望用户关闭浏览器就失去登录状态，那这个Cookie得是「会话级」的——也就是不设置IsPersistent = true，默认就是关闭浏览器就自动删除的，用来保证登录状态随浏览器会话结束而失效。
• 记住用户名的Cookie：这是一个单独的、非认证用途的Cookie，专门用来存用户名（或者经过安全处理的标识），可以设置较长有效期（比如30天），用来给登录页自动填充用户名，不会影响登录状态的会话性。

这样分开设置，就能同时满足两个需求了。

问题2：如何通过哈希加盐实现该功能的安全存储？ #

直接把明文用户名存在Cookie里是不安全的，容易被窃取后冒用。正确的做法是对用户名进行哈希加盐处理后再存储，读取时验证哈希并提取用户名。

具体实现步骤： #

1. 创建哈希加盐工具类：因为你没用到Identity，需要自己实现简单的哈希逻辑。推荐用HMACSHA256（带密钥的哈希，比单纯的SHA256更安全），密钥可以存在appsettings.json里：

public static class UsernameHashHelper
{
    private static readonly string _siteKey = Configuration.GetValue<string>("UsernameHashKey"); // 从配置读取站点专属密钥

    // 生成带盐的用户名哈希值
    public static string GenerateHashedUsername(string username)
    {
        using var hmac = new HMACSHA256(Encoding.UTF8.GetBytes(_siteKey));
        byte[] hashBytes = hmac.ComputeHash(Encoding.UTF8.GetBytes(username));
        // 把用户名和哈希值拼接存储，方便后续验证
        return $"{username}:{Convert.ToBase64String(hashBytes)}";
    }

    // 验证Cookie中的哈希值有效性，并提取用户名
    public static string ValidateAndExtractUsername(string cookieValue)
    {
        if (string.IsNullOrEmpty(cookieValue))
            return null;

        string[] parts = cookieValue.Split(':');
        if (parts.Length != 2)
            return null;

        string username = parts[0];
        string storedHash = parts[1];

        using var hmac = new HMACSHA256(Encoding.UTF8.GetBytes(_siteKey));
        byte[] computedHash = hmac.ComputeHash(Encoding.UTF8.GetBytes(username));
        string computedHashString = Convert.ToBase64String(computedHash);

        // 用常量时间比较防止计时攻击，避免攻击者通过响应时间猜测哈希内容
        return CryptographicOperations.FixedTimeEquals(Encoding.UTF8.GetBytes(storedHash), Encoding.UTF8.GetBytes(computedHashString)) 
            ? username 
            : null;
    }
}

2. 登录成功后设置记住用户名Cookie：把「记住用户名」的复选框和「持久化登录状态」的逻辑分开，当用户勾选记住用户名时，写入处理后的Cookie：

// 登录验证通过后
if (RememberUsername) // 这是专门用于记住用户名的复选框，和登录状态持久化无关
{
    string hashedUsername = UsernameHashHelper.GenerateHashedUsername(UserName);
    Response.Cookies.Append("RememberedUsername", hashedUsername, new CookieOptions
    {
        Expires = DateTimeOffset.UtcNow.AddDays(30),
        HttpOnly = false, // 需要在前端读取填充表单，所以不能设为HttpOnly
        Secure = true, // 生产环境必须设为true，只允许HTTPS传输Cookie
        SameSite = SameSiteMode.Lax
    });
}
else
{
    // 用户不勾选时，删除已有的记住用户名Cookie
    Response.Cookies.Delete("RememberedUsername");
}

// 设置会话级认证Cookie（关闭浏览器即失效）
var claims = new List<Claim> { new Claim(ClaimTypes.Name, UserName) };
var claimsIdentity = new ClaimsIdentity(claims, CookieAuthenticationDefaults.AuthenticationScheme);
await HttpContext.SignInAsync(CookieAuthenticationDefaults.AuthenticationScheme, new ClaimsPrincipal(claimsIdentity));

3. 登录页读取并填充用户名：在登录页的OnGet方法中读取Cookie，验证哈希后自动填充用户名：

public void OnGet()
{
    if (Request.Cookies.TryGetValue("RememberedUsername", out string hashedUsername))
    {
        string username = UsernameHashHelper.ValidateAndExtractUsername(hashedUsername);
        if (!string.IsNullOrEmpty(username))
        {
            UserName = username; // 绑定到表单模型，自动填充到输入框
        }
    }
}

问题3：若不可行，当前认证方式是否默认对用户名和密码进行安全哈希，是否需额外配置？ #

首先问题1是完全可行的，不过还是要给你明确当前认证方式的安全性细节：

1. 认证Cookie的安全性：你在浏览器里看到的Cookie是加密后的内容，这是因为ASP.NET Core默认用Data Protection系统对认证Cookie的内容进行了加密，里面的Claims（包括用户名）不会被明文读取或篡改，这个是默认配置，不需要额外设置（只要你用了AddAuthentication().AddCookie()）。

2. 密码的处理：当前你的代码里没有对用户密码进行哈希存储——如果你的用户信息（用户名、密码）存在数据库里，绝对不能存储明文密码，必须存储加盐后的哈希值。即使不用完整Identity，也可以单独使用ASP.NET Core提供的PasswordHasher<T>类：

// 先注册PasswordHasher服务
services.AddScoped<IPasswordHasher<object>, PasswordHasher<object>>();

// 创建用户时哈希密码
var passwordHasher = serviceProvider.GetRequiredService<IPasswordHasher<object>>();
string hashedPassword = passwordHasher.HashPassword(null, plainTextPassword);
// 将hashedPassword存储到数据库

// 登录时验证密码
string storedHashedPassword = // 从数据库读取对应用户的哈希密码
PasswordVerificationResult result = passwordHasher.VerifyHashedPassword(null, storedHashedPassword, inputPassword);
if (result == PasswordVerificationResult.Success)
{
    // 密码验证通过，执行登录逻辑
}

3. 当前代码的潜在风险：你之前的代码里把「记住我」和「持久化登录状态」绑定在一起了——如果用户勾选，认证Cookie会变成持久化的（30天有效期），关闭浏览器也不会失效。如果你的需求是关闭浏览器必须重新登录，一定要把这两个逻辑分开，用不同的复选框控制。

内容的提问来源于stack exchange，提问作者Qiuzman