在.NET Framework项目中实现ASP.NET Core Identity密码哈希方案

我之前也碰到过这种跨框架密码验证的问题，其实有两种很实用的解决方案，具体选哪种看你的项目环境：

方案一：直接复用ASP.NET Core Identity的PasswordHasher（最简单） #

如果你的.NET Framework项目版本是4.6.1及以上，可以直接通过NuGet安装ASP.NET Core Identity的包，这样就能用官方的哈希验证逻辑，完全不用自己造轮子。

操作步骤： #

1. 打开NuGet包管理器，安装对应包：

   Install-Package Microsoft.AspNetCore.Identity
   

2. 编写验证代码：

   using Microsoft.AspNetCore.Identity;
   
   public bool ValidateCoreIdentityPassword(string plainPassword, string coreHashedPassword)
   {
       // 泛型参数可以用任意类型，这里只需要验证哈希逻辑
       var passwordHasher = new PasswordHasher<object>();
       var verificationResult = passwordHasher.VerifyHashedPassword(null, coreHashedPassword, plainPassword);
       
       // Success表示验证通过，SuccessRehashNeeded表示密码有效但建议重新哈希（迭代次数可能偏低）
       return verificationResult == PasswordVerificationResult.Success || 
              verificationResult == PasswordVerificationResult.SuccessRehashNeeded;
   }
   

这个方法的优势是完全和官方逻辑对齐，不用自己处理哈希格式解析，还能自动适配未来的算法更新。

方案二：手动实现Core的密码哈希验证逻辑（无NuGet依赖） #

如果你的项目没法安装Core的NuGet包（比如.NET Framework版本过低），可以手动解析Core Identity的哈希格式来完成验证。

ASP.NET Core Identity哈希格式说明 #

Core生成的哈希字符串是Base64编码的字节数组，内部结构如下：

• 第1字节：算法标识（0x00表示默认的PBKDF2-HMAC-SHA256）
• 第2字节：版本号（0x01）
• 第3-6字节：迭代次数（小端序整数，默认100000）
• 第7-10字节：盐的长度（小端序整数）
• 后续字节：盐数据 + 32字节的SHA256哈希值

手动验证代码： #

using System;
using System.Security.Cryptography;
using System.Text;

public bool ValidateCorePasswordManually(string plainPassword, string coreHashedPassword)
{
    try
    {
        byte[] hashedBytes = Convert.FromBase64String(coreHashedPassword);
        
        // 验证是否为Core默认的哈希格式
        if (hashedBytes.Length < 10 + 32 || hashedBytes[0] != 0x00 || hashedBytes[1] != 0x01)
        {
            return false;
        }
        
        // 解析迭代次数（小端序）
        int iterations = BitConverter.ToInt32(hashedBytes, 2);
        // 解析盐长度（小端序）
        int saltLength = BitConverter.ToInt32(hashedBytes, 6);
        
        // 提取盐数据
        byte[] salt = new byte[saltLength];
        Array.Copy(hashedBytes, 10, salt, 0, saltLength);
        
        // 提取存储的哈希值
        byte[] storedHash = new byte[32];
        Array.Copy(hashedBytes, 10 + saltLength, storedHash, 0, 32);
        
        // 生成明文密码的哈希
        using (var pbkdf2 = new Rfc2898DeriveBytes(
            Encoding.UTF8.GetBytes(plainPassword), 
            salt, 
            iterations, 
            HashAlgorithmName.SHA256))
        {
            byte[] computedHash = pbkdf2.GetBytes(32);
            
            // 固定时间比较防止时序攻击（.NET Framework 4.7.2+可直接用CryptographicOperations.FixedTimeEquals）
            return FixedTimeEquals(computedHash, storedHash);
        }
    }
    catch
    {
        // 解析失败直接返回验证不通过
        return false;
    }
}

// 自定义固定时间比较方法
private static bool FixedTimeEquals(byte[] a, byte[] b)
{
    if (a.Length != b.Length)
        return false;
        
    int difference = 0;
    for (int i = 0; i < a.Length; i++)
    {
        difference |= a[i] ^ b[i];
    }
    return difference == 0;
}

兼容旧密码的额外建议 #

如果你的项目需要同时支持旧的.NET Framework Identity密码和新的Core密码，可以做一个兼容层：先尝试Core的验证逻辑，失败后再用旧的验证逻辑，这样用户不需要重新设置密码就能正常登录。

示例代码：

public bool ValidatePassword(string plainPassword, string hashedPassword)
{
    // 先尝试Core密码验证
    if (ValidateCoreIdentityPassword(plainPassword, hashedPassword))
        return true;
    
    // 再尝试旧的.NET Framework Identity验证
    var oldHasher = new Microsoft.AspNet.Identity.PasswordHasher();
    return oldHasher.VerifyHashedPassword(hashedPassword, plainPassword) == 
           Microsoft.AspNet.Identity.PasswordVerificationResult.Success;
}

内容的提问来源于stack exchange，提问作者Dr. Roggia