ASP.NET使用IPasswordHasher与BCrypt密码哈希验证失败问题

根因前置说明 #

你观察到的「相同明文两次哈希结果不一致」是BCrypt的正常设计：BCrypt每次执行哈希操作时会自动生成16字节的随机盐，因此同明文多次调用HashPassword生成的结果必然不同。你遇到的验证失败，本质是校验逻辑用错了方法，不是哈希本身的问题。

两个指定疑问解答 #

① AddUserHandler中将哈希值赋值给request.PasswordHash的逻辑是否正确？ #

逻辑方向没问题，但存在隐患：

• 不建议把生成的哈希值回写到请求对象request上，请求对象应该作为只读的入参使用，回写值可能被后续模型绑定、管道逻辑意外篡改。
• 必须确认数据库存储哈希的字段长度不小于60位：工作因子为12时BCrypt生成的哈希串固定长度为60，若数据库字段设置为varchar(50)这类短长度，会截断哈希串直接导致验证失败。

从你贴出的库中哈希值来看，存储的哈希是完整60位，这一步出问题的概率极低。

② 如何提取哈希过程生成的盐值，赋值给request.PasswordSalt字段？ #

完全不需要单独存储盐值。BCrypt生成的哈希串遵循固定格式：$<算法版本>$<工作因子>$<22位盐值+31位哈希摘要>，盐值本身已经内嵌在最终生成的哈希串中，Verify方法会自动从传入的已存哈希串里提取盐完成比对，单独存盐属于冗余操作，还可能引入盐和哈希不匹配的新问题。
如果确实有特殊场景需要提取盐，直接按$分割哈希字符串，取第三段的前22位即可，无对应专用API。

故障排查步骤（按优先级排序） #

1. 优先检查BasicAuthenticationHandler的校验逻辑（90%概率是这个问题）
   你贴出的认证阶段生成的新哈希值，说明你在校验时错误地对用户输入的明文密码再次调用了HashPassword方法，拿新生成的哈希和库中哈希做相等比对——这种写法永远不可能验证通过，因为每次哈希的随机盐都不一样。
   错误写法示例（禁止使用）：

   // 错误：重新哈希用户输入，每次生成的盐都随机，结果永远和库中值不相等
   var inputHashed = _passwordHasher.HashPassword(user, inputPassword);
   if (inputHashed == dbUser.PasswordHash)
   {
       // 永远不会走到这个分支
   }
   

   正确校验写法：

   // 正确：把库中存的完整哈希值传入Verify方法，由BCrypt自动提取盐完成比对
   var verifyResult = _passwordHasher.VerifyHashedPassword(dbUser, dbUser.PasswordHash, inputPassword);
   if (verifyResult is PasswordVerificationResult.Success or PasswordVerificationResult.SuccessRehashNeeded)
   {
       // 校验通过，生成认证票据即可
   }
   

2. 检查数据库读取的哈希一致性
   在认证流程打个断点，拿到从数据库查询出的PasswordHash值，和注册时存入的字符串逐字符比对，确认：
   • 映射关系正确，没有把其他字段的值误映射为PasswordHash
   • 数据库字段编码为UTF8，没有因为编码问题导致特殊字符（比如/、.）读取错误
3. 检查Base64解码逻辑
   同样在认证流程打个断点，确认从Authorization头解码得到的明文密码和用户输入完全一致，没有多拼接空格、换行，也没有因为用错编码格式（比如用ASCII解UTF8编码的凭证）导致密码内容错误。
4. 检查依赖包版本一致性
   确认注册流程、认证流程引用的BCrypt.Net包版本完全一致，避免跨版本的哈希格式兼容问题（该问题概率极低，Verify方法一般会兼容旧版本格式）。

修正建议 #

• 删除User实体中多余的PasswordSalt字段，无需单独存盐，BCrypt哈希串已经包含校验所需的全部信息
• 调整注册流程逻辑，不要回写request对象，生成的哈希值直接赋值给待入库的User实体：

  var newUser = new User
  {
      UserName = request.UserName,
      Email = request.Email,
      PasswordHash = _passwordHasher.HashPassword(new User(), request.PlainPassword)
  };
  await dbContext.Users.AddAsync(newUser);
  

• 将数据库中存储密码哈希的字段类型设置为varchar(60)，不要使用nvarchar（BCrypt哈希无Unicode字符，varchar可避免编码问题同时节省存储空间），确保不会截断哈希串。

内容的提问来源于stack exchange，提问作者luca88