Azure上ASP.NET WebAPI应用的密码格式及哈希类型问询

嘿，针对你提出的两个问题，我来详细拆解一下：

一、你给出的密码串的格式结构 #

你提供的密码串 1000:Z7yApDhypjU88p8cTU3SLRGqW6cZXtbv:oThRlVGlTNMggciquvhXn6jjvnaoRfFM 是ASP.NET Identity默认的密码哈希存储格式，整体由三个用冒号(:)分隔的部分组成，结构定义如下：
[迭代次数]:[Base64编码的盐值]:[Base64编码的哈希结果]

对应到你的示例各部分含义：

• 1000：PBKDF2哈希算法使用的迭代次数
• Z7yApDhypjU88p8cTU3SLRGqW6cZXtbv：随机生成的盐值（已做Base64编码，用于避免彩虹表攻击）
• oThRlVGlTNMggciquvhXn6jjvnaoRfFM：最终的密码哈希结果（同样做了Base64编码）

二、对应的哈希类型及格式说明 #

这个密码哈希使用的是PBKDF2-SHA1算法（这是ASP.NET Identity早期版本的默认配置；如果是较新的Identity版本，可能会升级为PBKDF2-SHA256，但从你的格式结构来看，完全匹配经典的PBKDF2-SHA1实现）。

补充几个关键细节：

• 盐值：每个用户的密码都会生成独立的随机盐，确保即使两个用户使用相同密码，最终存储的哈希串也完全不同，大大提升安全性。
• 迭代次数：这里的1000代表PBKDF2算法重复运算的次数，次数越高，暴力破解的成本就越高。现在官方推荐的迭代次数通常在10000以上，但这个值可以在ASP.NET Identity的配置中自定义调整。
• 编码方式：盐和哈希结果都采用Base64编码，目的是将二进制数据转换为可安全存储在数据库中的字符串格式。

三、ASP.NET Identity生成该格式的逻辑 #

在ASP.NET Identity框架中，PasswordHasher类负责生成这种格式的密码哈希，大致流程是：

1. 生成一个16字节的随机盐值；
2. 使用PBKDF2算法，结合原始密码、盐值和指定的迭代次数，计算出哈希结果（经典实现下是20字节的SHA1哈希）；
3. 将迭代次数、Base64编码后的盐值、Base64编码后的哈希结果用冒号拼接，得到最终存储的密码串。

内容的提问来源于stack exchange，提问作者byte_slave