如何在ASP.NET生产站点更换Machine Key并迁移加密密码

首先得明确核心原因：ASP.NET Identity默认依赖machineKey生成密码哈希的验证密钥，当你替换新的machineKey后，旧的密码哈希值无法通过新密钥的验证——毕竟密码是不可逆的哈希值，没法直接解密后重新哈希。下面是我实践过的可行解决方案：

步骤1：自定义双验证密码哈希器 #

创建一个继承自PasswordHasher<TUser>的自定义哈希器，让它先尝试用新密钥验证密码，失败后再用旧密钥验证。一旦旧密钥验证成功，就告诉Identity重新用新密钥哈希密码并更新到数据库。

public class DualPasswordHasher<TUser> : PasswordHasher<TUser> where TUser : class
{
    private readonly PasswordHasher<TUser> _oldPasswordHasher;

    public DualPasswordHasher()
    {
        // 配置和旧machineKey匹配的哈希器参数
        var oldOptions = new PasswordHasherOptions
        {
            // 要和旧项目的CompatibilityMode一致，比如IdentityV2/V3
            CompatibilityMode = PasswordHasherCompatibilityMode.IdentityV2,
            // 旧项目的迭代次数也要对应，默认是10000
            IterationCount = 10000
        };
        _oldPasswordHasher = new PasswordHasher<TUser>(oldOptions);
    }

    public override PasswordVerificationResult VerifyHashedPassword(TUser user, string hashedPassword, string providedPassword)
    {
        // 优先用新密钥验证
        var newKeyResult = base.VerifyHashedPassword(user, hashedPassword, providedPassword);
        if (newKeyResult != PasswordVerificationResult.Failed)
        {
            return newKeyResult;
        }

        // 新密钥验证失败，尝试旧密钥
        var oldKeyResult = _oldPasswordHasher.VerifyHashedPassword(user, hashedPassword, providedPassword);
        if (oldKeyResult == PasswordVerificationResult.Success)
        {
            // 返回需要重新哈希的标记，让Identity自动更新密码
            return PasswordVerificationResult.SuccessRehashNeeded;
        }

        return PasswordVerificationResult.Failed;
    }
}

步骤2：注册自定义哈希器到Identity #

在你的Startup.cs（或身份验证配置类）里，替换默认的密码哈希器：

services.AddIdentity<ApplicationUser, IdentityRole>()
    .AddEntityFrameworkStores<ApplicationDbContext>()
    .AddDefaultTokenProviders()
    // 替换为我们的双验证哈希器
    .AddPasswordHasher<DualPasswordHasher<ApplicationUser>>();

步骤3：自动完成密码哈希迁移 #

用户下次登录时，只要输入正确密码，自定义哈希器会先用新密钥尝试验证，失败后用旧密钥验证。验证通过后，Identity会自动重新用新密钥哈希密码并更新到数据库——用户完全感知不到这个过程，下次登录就会直接用新哈希值验证了。

步骤4：过渡完成后清理代码 #

等过一段时间（比如1-2周，确保大部分用户都登录过），所有用户的密码哈希都更新为新格式后，就可以删掉自定义的DualPasswordHasher，恢复使用默认的PasswordHasher，同时移除旧的machineKey配置。

备选方案（不推荐） #

如果用户量极小，或者无法等待用户主动登录，你可以批量给所有用户发送密码重置邮件，让他们设置新密码。但这种方式用户体验很差，除非万不得已不建议使用。

内容的提问来源于stack exchange，提问作者David Ortega