IdentityUser如何验证旧密码？实现输入正确旧密码才可修改密码

嘿，你当前的实现有个核心问题——PasswordHasher.HashPassword每次生成的哈希值都是不一样的（因为它会自动生成随机盐值），所以直接拿新哈希和数据库里的PasswordHash对比肯定行不通，这也是你觉得方案不够优雅的根源。

ASP.NET Identity其实已经给我们提供了专门的旧密码验证方法，完全不需要自己手动哈希对比，简洁又靠谱：

正确实现代码 #

// 先验证用户输入的旧密码是否正确
var isOldPasswordValid = await _userManager.CheckPasswordAsync(appUser, model.OldPassword);
if (isOldPasswordValid)
{
    // 旧密码验证通过，执行密码修改操作
    var result = await _userManager.ChangePasswordAsync(appUser, model.OldPassword, model.NewPassword);
    if (!result.Succeeded)
    {
        // 处理修改失败的逻辑，比如收集错误信息返回给用户
        foreach (var error in result.Errors)
        {
            ModelState.AddModelError(string.Empty, error.Description);
        }
    }
    else
    {
        // 密码修改成功后的逻辑，比如跳转提示页或返回成功响应
    }
}
else
{
    // 旧密码错误，给用户提示
    ModelState.AddModelError("OldPassword", "输入的旧密码不正确");
}

为什么这个方案更优雅？ #

• 贴合Identity设计规范：CheckPasswordAsync内部已经封装了盐值验证逻辑，能正确对比用户输入的明文密码和数据库中存储的加盐哈希值，完全避开手动处理哈希的坑。
• 代码逻辑更清晰：去掉了多余的手动哈希步骤，一眼就能看懂整个流程。
• 内置完整错误处理：ChangePasswordAsync返回的IdentityResult会包含所有修改失败的原因（比如新密码不符合复杂度要求等），方便你统一处理各类异常场景。

补充纠正你原来的小错误 #

你之前调用ChangePasswordAsync时传的是appUser.PasswordHash作为旧密码参数，这是不对的——这个方法的第二个参数需要传入用户输入的明文旧密码，而非数据库里的哈希值，ChangePasswordAsync内部会自动完成验证逻辑。

内容的提问来源于stack exchange，提问作者Eugene