登录时存储的MD5哈希与登录输入密码的计算值不匹配如何排查解决

• 从哈希实现的底层逻辑就错了：MD5跑出来的是16字节的原始二进制流，这堆字节根本不是合法的文本内容。现在的代码直接把这堆原始字节硬用UTF8转成字符串，过程中碰到大量不对应合法UTF8规则的字节，系统会自动把这些无效字节替换成乱码替换标记。存库的时候碰到的替换规则、读库的时候碰到的解析规则不一样，最后生成的字符串根本不可能稳定一致。
  • 你看到的存库是带?的乱码、登录算出来是带�的乱码，就是这个过程导致的：存的时候SQL Server把转码生成的乱码标记固化成了?，读出来的时候程序又把这些?按当前编码规则重新解析成另一种替换字符，两边的字符串值从根上就不一样，比对肯定过不了。
• 存库的调用逻辑有硬伤：你现在写的存库代码Md5Encrypt.Md5EncryptPassword(viewModel.User.PasswordHash);只是调用了方法，压根没把方法算出来的结果赋值回实体的PasswordHash字段，等于算出来的哈希值直接扔了，存进数据库的根本不是你以为的那份哈希结果。而且你传的输入是本来要存哈希的PasswordHash字段，根本没拿用户输入的明文密码当哈希输入，逻辑完全是反的。
• 编码规则不对：你现在把明文密码转字节用的是ASCII编码，只要密码里带中文、特殊符号这些非ASCII的内容，转字节的时候就会直接把字符丢掉，就算后面哈希存储的逻辑改对，这类密码也永远校验不通过。

• 重写MD5方法，绝对不要再把原始哈希字节直接用字符编码转字符串：必须把哈希字节用通用的二进制转文本规则（十六进制/Base64）编码，保证同一份输入生成的字符串100%稳定，不会出现乱码替换。
  修正后的可直接用的方法：

public static string Md5EncryptPassword(string data)
{
    // 统一用UTF8转明文为字节，兼容所有语言的密码字符
    var plainBytes = Encoding.UTF8.GetBytes(data);
    using var md5 = MD5.Create();
    var hashedBytes = md5.ComputeHash(plainBytes);
    // 转成标准十六进制字符串，全程无乱码，存库读库完全一致
    return Convert.ToHexString(hashedBytes);
    // 老版本.NET没有内置转十六进制方法的话，直接用Convert.ToBase64String(hashedBytes)也可以
}

• 修正存库的调用逻辑：必须拿用户输入的明文密码当哈希方法的输入，还要把算出来的哈希值赋值给实体的存哈希字段，正确写法是：
  viewModel.User.PasswordHash = Md5Encrypt.Md5EncryptPassword(viewModel.User.Password);
• 给数据库字段配对长度：MD5转十六进制后固定是32个字符长度，用varchar(32)的字段存就行；如果用Base64编码则是固定24个字符，用varchar(24)就够，别用长度太短的字段，不然哈希值会被截断。
• 改下登录方法的异常处理：现在你代码里查用户用First()，碰到用户不存在、没审核的情况会直接抛异常，外层空catch会把所有问题（比如数据库连不上、字段类型错）都当成密码不对，调试的时候记得在catch块里把异常打日志，别空着catch吞所有错误。

提个实用提醒：MD5本身早就不适合存密码了，没有加盐的MD5被彩虹表破解的成本极低，后面迭代上线的时候建议换成bcrypt、PBKDF2这类带盐的慢哈希算法，避免数据库泄露后用户密码被快速破解。

内容的提问来源于stack exchange，提问作者Shanu Garg