C#传模型参数时仅替换单个属性（密码哈希）的简洁实现方式

推荐直接在EF Core上下文层自动处理密码哈希，完全不需要修改现有控制器的绑定、赋值逻辑，不需要手动给User的数十个属性逐个赋值，密码哈希逻辑统一收敛，不会散落在业务代码里，从根源避免漏加哈希导致明文密码落库的问题。

具体实现步骤 #

1. 补充必要的模型字段 #

首先给User类加一个存储用户专属随机盐的字段（安全规范强制要求，禁止使用全局固定盐，否则无法防御彩虹表攻击），其他所有已有属性保持不动：

public class User
{
    // 保留所有原有属性，不需要修改任何现有绑定逻辑
    public string Password { get; set; }
    // 新增盐值存储字段
    public byte[] PasswordSalt { get; set; }
}

2. 在DbContext里植入自动哈希逻辑 #

直接重写someContext的SaveChanges相关方法，在数据落库前自动扫描待新增的User实体，完成盐值生成、密码哈希替换，不需要额外引入任何组件：

using Microsoft.AspNetCore.Cryptography.KeyDerivation;
using System.Security.Cryptography;

public class someContext : DbContext
{
    public DbSet<User> Users { get; set; }
    
    // 保留你已有的上下文配置、构造函数等代码

    public override int SaveChanges()
    {
        ProcessNewUserPasswordHash();
        return base.SaveChanges();
    }

    public override Task<int> SaveChangesAsync(CancellationToken cancellationToken = default)
    {
        ProcessNewUserPasswordHash();
        return base.SaveChangesAsync(cancellationToken);
    }

    private void ProcessNewUserPasswordHash()
    {
        // 筛选出所有即将插入数据库的新用户实体
        var pendingAddUsers = ChangeTracker.Entries<User>()
            .Where(entry => entry.State == EntityState.Added)
            .Select(entry => entry.Entity)
            .ToList();

        foreach (var user in pendingAddUsers)
        {
            // 生成每个用户独有的128位随机盐
            var salt = RandomNumberGenerator.GetBytes(16);
            // 用给定的PBKDF2逻辑计算密码哈希
            string hashedPwd = Convert.ToBase64String(KeyDerivation.Pbkdf2(
                password: user.Password,
                salt: salt,
                prf: KeyDerivationPrf.HMACSHA256,
                iterationCount: 100000,
                numBytesRequested: 32));
            
            // 自动替换明文密码为哈希值，持久化盐值
            user.Password = hashedPwd;
            user.PasswordSalt = salt;
        }
    }
}

3. 原有控制器代码零修改 #

你现在写的Register方法完全不需要调整，保持原样即可：

public IActionResult Register(User user)
{
    // 注意：更推荐用依赖注入方式获取DbContext，不要手动new，方便统一管理上下文生命周期
    var context = new someContext();
    context.Users.Add(user);
    context.SaveChanges();
    // 执行到SaveChanges时，密码已经被自动替换为哈希值，明文不会落库
}

方案优势 #

• 零侵入业务代码：控制器不需要做任何密码相关处理，也不需要手动给User的属性逐个赋值，模型绑定的所有原有属性会正常持久化
• 逻辑统一收敛：后续不管是控制器、后台任务、其他服务新增用户，只要走EF Core保存逻辑，都会自动完成密码哈希，不会出现遗漏
• 符合职责划分：密码哈希属于数据持久层的安全处理逻辑，不应该散落在接口业务代码里，后续如果要调整哈希迭代次数、更换哈希算法，只需要改这一处代码即可。

内容的提问来源于stack exchange，提问作者Reza Kajbaf