WebMatrix WebSecurity 密码盐

Question

我正在使用 WebMatrix 并建立了一个基于“StarterSite”的网站。在这个入门网站中，您会得到一个很好的基本布局 - 包括注册、登录、忘记密码页面等...

我注意到在数据库中，“webpages_Membership”表有一列名为“PasswordSalt”。创建几个新的用户帐户后，此列始终保持空白。所以我假设没有使用密码盐（甚至不是默认的）。

显然这不是最佳实践，但是我似乎找不到任何文档告诉我如何设置或管理密码盐。

如何使用 WebSecurity Helper 设置密码盐？

Answer 1

上面的答案给人的印象是，使用 WebSecurity SimpleMembershipProvider 时没有应用加盐。

那不是真的。实际上，没有使用数据库盐字段，但这并不表明在对密码进行哈希处理时没有生成盐。

在 WebSecurity 的 SimpleMembershipProvider 中，使用 PBKDF2 算法，随机盐由 StaticRandomNumberGenerator 生成，并使用哈希值存储在密码字段中：

byte[] outputBytes = new byte[1 + SALT_SIZE + PBKDF2_SUBKEY_LENGTH];
Buffer.BlockCopy(salt, 0, outputBytes, 1, SALT_SIZE); 
Buffer.BlockCopy(subkey, 0, outputBytes, 1 + SALT_SIZE, PBKDF2_SUBKEY_LENGTH);
return Convert.ToBase64String(outputBytes);

Answer 2

从 WebMatrix/ASP.NET 网页的 RTM 版本开始，salt 功能/列未使用。

如果您打开网页源代码，您将看到数据库类散布着诸如

INSERT INTO [" + MembershipTableName + "] (UserId, [Password], PasswordSalt

...

VALUES (uid, hashedPassword,String.Empty /* salt column is unused */

为了强调而缩短的引用，

肯定有方法可以覆盖和实现此行为，首先是

• ： WebData.SimpleMembershipProvider.CreateAccount()

或

• 使用 System.WebData.SimpleMembershipProvider.CreateAccountWithPasswordSalt() 进行扩展，

除非您要求，否则不会详细介绍，因为您对 WebMatrix 和模板的使用表明您可能不想乱重写该项目需要大量您自己的 C#/ASP 代码。