如何判断密码是否为哈希存储 实现新旧密码兼容登录校验

• 新生成的账号密码均已做哈希处理，调用PasswordHashManager.ValidatePassword()方法完成校验时，登录功能运行正常
• 数据库存量账号存在两类非哈希存储的密码，直接走现有哈希校验逻辑会触发异常：
  • 普通字符串格式存储的明文密码：输入正确密码登录时抛出Input string was not in a correct format错误
  • 整数类型存储的非哈希密码：无论输入密码是否正确，均抛出IndexOutOfRangeException: Index was outside the bounds of the array异常
• 核心需求：自动识别存储的密码格式，哈希格式走现有哈希校验逻辑，非哈希格式走明文比对逻辑，兼容存量账号正常登录

通过格式特征前置判断+异常兜底的方式实现分支校验，同时支持存量密码的平滑迁移，无需停机刷数：

• 第一步：前置类型与格式判断，快速筛除非哈希密码
  哈希格式的判定规则可根据你使用的哈希库输出特征设置，通用判断逻辑如下：
  1. 存储值为整数类型的，直接判定为非哈希密码
  2. 字符串长度小于哈希库输出的最小长度（该类加密哈希输出长度通常在100位以上，远长于普通用户设置的明文密码），判定为非哈希密码
  3. 字符串不符合哈希输出的编码规则（比如不满足base64编码规范、不携带哈希库的固定版本前缀），判定为非哈希密码
• 第二步：分支走对应校验逻辑，增加异常兜底避免误判导致登录失败
  参考实现代码如下：

/// <summary>
/// 账号密码校验入口
/// </summary>
/// <param name="inputPassword">用户前端输入的密码</param>
/// <param name="storedCredential">数据库中存储的密码字段值</param>
/// <returns></returns>
public bool ValidateLoginPassword(string inputPassword, object storedCredential)
{
    // 优先处理整数类型存储的存量非哈希密码
    if (storedCredential is int intStoredPwd)
    {
        bool isMatch = inputPassword == intStoredPwd.ToString();
        if (isMatch)
        {
            // 校验通过后异步将该账号密码升级为哈希存储
            _ = UpgradePasswordToHashAsync(inputPassword);
        }
        return isMatch;
    }

    string storedPwd = storedCredential as string;
    if (string.IsNullOrWhiteSpace(storedPwd))
    {
        return false;
    }

    // 判定是否为标准哈希格式
    if (IsStandardHashString(storedPwd))
    {
        try
        {
            return PasswordHashManager.ValidatePassword(inputPassword, storedPwd);
        }
        catch (Exception ex) when (ex is FormatException or IndexOutOfRangeException)
        {
            // 极端场景格式误判触发异常时，兜底走明文比对
            bool isMatch = inputPassword == storedPwd;
            if (isMatch)
            {
                _ = UpgradePasswordToHashAsync(inputPassword);
            }
            return isMatch;
        }
    }
    else
    {
        // 非哈希格式走明文比对
        bool isMatch = inputPassword == storedPwd;
        if (isMatch)
        {
            _ = UpgradePasswordToHashAsync(inputPassword);
        }
        return isMatch;
    }
}

/// <summary>
/// 判断字符串是否为符合规则的哈希串
/// </summary>
private bool IsStandardHashString(string target)
{
    // 长度过滤：哈希串最小长度远长于常规明文密码
    if (target.Length < 100)
    {
        return false;
    }
    // 校验是否符合base64编码规则（对应哈希库的输出编码格式）
    try
    {
        Convert.FromBase64String(target);
        // 校验哈希串固定版本前缀，可根据你实际使用的库版本调整
        return target.StartsWith("v1:") || target.StartsWith("v2:");
    }
    catch
    {
        return false;
    }
}

/// <summary>
/// 校验通过后将明文密码升级为哈希存储
/// </summary>
private async Task UpgradePasswordToHashAsync(string plainPassword)
{
    // 实现对应账号的密码哈希更新逻辑即可
    throw new NotImplementedException();
}

兼容逻辑上线后，存量账号每次登录成功都会自动将明文密码替换为哈希值，正常运营一段时间后所有存量密码都会完成哈希升级，后续可直接移除明文比对的兼容分支，全程不需要单独跑脚本批量刷库，不影响用户正常使用。

内容的提问来源于stack exchange，提问作者Salman Abbas