数据库查询后，SHA1 密码以明文形式返回

Question

我的 aspnet_Membership 表中有 SHA1 密码和 PasswordSalt。 但是，当我从服务器运行查询（Sql 查询）时，读者会发现 该通行证已以其明文形式返回。

我想知道是否是我的 web.config 配置导致了这种情况？

<membership defaultProvider="CustomMembershipProvider" 
                userIsOnlineTimeWindow="20"
                hashAlgorithmType="SHA1">
      <providers>
        <clear/>
        <add  name="CustomMembershipProvider"
              type="Custom.Utility.CustomMembershipProvider"
              connectionStringName="MembershipDB"
              enablePasswordRetrieval="false"
              enablePasswordReset="true"
              requiresUniqueEmail="false"
              requiresQuestionAndAnswer="false"
              passwordStrengthRegularExpression=""
              minRequiredPasswordLength="1"
              minRequiredNonalphanumericCharacters="0"
              passwordFormat="Hashed"

提前致谢...

Answer 1

您已为会员资格提供程序使用了正确的设置（特别是 passwordFormat="hashed"），但您还具有以下行：

type="Custom.Utility.CustomMembershipProvider"

设置 passwordFormat="hashed" 仅告诉您正在使用的会员提供商希望对密码进行哈希处理。如果您使用自定义成员资格提供程序，则必须对该提供程序进行编码以遵循 passwordFormat 设置。

我 99% 确信您的密码以明文形式存储的原因是 CustomMembershipProvider 的编程目的就是这样做。

Answer 2

好吧，我想出了这个。答案是“是的，web.config 中有一个机制可以自动解密我的 SHA1 密码。注意：

解密=“自动”

<machineKey validationKey="MY Validateion Key"
            decryptionKey="My Decryption Key"
            validation="SHA1" decryption="Auto" />