C#使用 Salt + Hash 来为密码加密

（一） 为什么要用哈希函数来加密密码

如果你需要保存密码（比如网站用户的密码），你要考虑如何保护这些密码数据，象下面那样直接将密码写入数据库中是极不安全的，因为任何可以打开数据库的人，都将可以直接看到这些密码。

解决的办法是将密码加密后再存储进数据库，比较常用的加密方法是使用哈希函数（Hash Function）。哈希函数的具体定义，大家可以在网上或者相关书籍中查阅到，简单地说，它的特性如下：

（1）原始密码经哈希函数计算后得到一个哈希值

（2）改变原始密码，哈希函数计算出的哈希值也会相应改变

（3） 同样的密码，哈希值也是相同的

（4） 哈希函数是单向、不可逆的。也就是说从哈希值，你无法推算出原始的密码是多少

有了哈希函数，我们就可以将密码的哈希值存储进数据库。用户登录网站的时候，我们可以检验用户输入密码的哈希值是否与数据库中的哈希值相同。

由于哈希函数是不可逆的，即使有人打开了数据库，也无法看到用户的密码是多少。

那么存储经过哈希函数加密后的密码是否就是安全的了呢？我们先来看一下几种常见的破解密码的方法。

（二） 几种常见的破解密码的方法

最简单、常见的破解方式当属字典破解（Dictionary Attack）和暴力破解（Brute Force Attack）方式。这两种方法说白了就是猜密码。

字典破解和暴力破解都是效率比较低的破解方式。如果你知道了数据库中密码的哈希值，你就可以采用一种更高效的破解方式，查表法（Lookup Tables）。还有一些方法，比如逆向查表法（Reverse Lookup Tables）、彩虹表（Rainbow Tables）等，都和查表法大同小异。现在我们来看一下查表法的原理。

查表法不像字典破解和暴力破解那样猜密码，它首先将一些比较常用的密码的哈希值算好，然后建立一张表，当然密码越多，这张表就越大。当你知道某个密码的哈希值时，你只需要在你建立好的表中查找该哈希值，如果找到了，你就知道对应的密码了。

（三） 为密码加盐（Salt）

从上面的查表法可以看出，即便是将原始密码加密后的哈希值存储在数据库中依然是不够安全的。那么有什么好的办法来解决这个问题呢？答案是加盐。

盐（Salt）是什么？就是一个随机生成的字符串。我们将盐与原始密码连接（concat）在一起（放在前面或后面都可以），然后将concat后的字符串加密。采用这种方式加密密码，查表法就不灵了（因为盐是随机生成的）。

（四） 在.NET中的实现

在.NET中，生成盐可以使用RNGCryptoServiceProvider类，当然也可以使用GUID。哈希函数的算法我们可以使用SHA（Secure Hash Algorithm）家族算法，当然哈希函数的算法有很多，比如你也可以采用MD5。这里顺便提一下，美国政府以前广泛采用SHA-1算法，在2005年被我国山东大学的王小云教授发现了安全漏洞，所以现在比较常用SHA-1加长的变种，比如SHA-256。在.NET中，可以使用SHA256Managed类。

下面来看一段代码演示如何在.NET中实现给密码加盐加密。加密后的密码保存在MySQL数据库中。

下面的代码演示如何注册一个新帐户。盐的生成可以使用新Guid，也可以使用RNGCryptoServiceProvider 类。将byte[]转换为string，可以使用Base64String，也可以使用下面的ToHexString方法。

protected void ButtonRegister_Click(object sender, EventArgs e) 
{ 
 string username = TextBoxUserName.Text; 
 string password = TextBoxPassword.Text; 
 // random salt 
 string salt = Guid.NewGuid().ToString();
 // random salt 
 // you can also use RNGCryptoServiceProvider class  
 //System.Security.Cryptography.RNGCryptoServiceProvider rng = new System.Security.Cryptography.RNGCryptoServiceProvider(); 
 //byte[] saltBytes = new byte[36]; 
 //rng.GetBytes(saltBytes); 
 //string salt = Convert.ToBase64String(saltBytes); 
 //string salt = ToHexString(saltBytes); 
 byte[] passwordAndSaltBytes = System.Text.Encoding.UTF8.GetBytes(password + salt);  
 byte[] hashBytes = new System.Security.Cryptography.SHA256Managed().ComputeHash(passwordAndSaltBytes);
 string hashString = Convert.ToBase64String(hashBytes);
 // you can also use ToHexString to convert byte[] to string 
 //string hashString = ToHexString(hashBytes); 
 var db = new TestEntities(); 
 usercredential newRecord = usercredential.Createusercredential(username, hashString, salt); 
 db.usercredentials.AddObject(newRecord); 
 db.SaveChanges(); 
}
string ToHexString(byte[] bytes) 
{ 
 var hex = new StringBuilder(); 
 foreach (byte b in bytes) 
 { 
 hex.AppendFormat("{0:x2}", b); 
 } 
 return hex.ToString(); 
} 

下面的代码演示了如何检验登录用户的密码是否正确。首先检验用户名是否存在，如果存在，获得该用户的盐，然后用该盐和用户输入的密码来计算哈希值，并和数据库中的哈希值进行比较。

protected void ButtonSignIn_Click(object sender, EventArgs e) 
{ 
 string username = TextBoxUserName.Text; 
 string password = TextBoxPassword.Text;
 var db = new TestEntities(); 
 usercredential record = db.usercredentials.Where(x => string.Compare(x.UserName, username, true) == 0).FirstOrDefault(); 
 if (record == default(usercredential)) 
 { 
 throw new ApplicationException("invalid user name and password"); 
 }
 string salt = record.Salt; 
 byte[] passwordAndSaltBytes = System.Text.Encoding.UTF8.GetBytes(password + salt); 
 byte[] hashBytes = new System.Security.Cryptography.SHA256Managed().ComputeHash(passwordAndSaltBytes); 
 string hashString = Convert.ToBase64String(hashBytes);

 if (hashString == record.PasswordHash) 
 { 
 // user login successfully 
 } 
 else 
 { 
 throw new ApplicationException("invalid user name and password"); 
 } 
}

总结：单单使用哈希函数来为密码加密是不够的，需要为密码加盐来提高安全性，盐的长度不能过短，并且盐的产生应该是随机的。

以上就是本文的全部内容，希望本文的内容对大家的学习或者工作能带来一定的帮助，同时也希望多多支持！

# C#  # 加密  # 浅谈C#中Md5和Sha1两种加密方式  # asp实现的sha1加密解密代码（和C#兼容）  # c# 实现MD5  # SHA1  # SHA256  # SHA512等常用加密算法源代码  # C# 实现对PPT文档加密、解密及重置密码的操作方法  # C# 批量生成随机密码必须包含数字和字母并用加密算法加密  # 基于C#对用户密码使用MD5加密与解密  # C#使用伪随机数实现加密用户密码的方法  # C# 使用SHA1算法对密码进行加密  # 可以使用  # 数据库中  # 加盐  # 如果你  # 几种  # 山东大学  # 美国政府  # 的人  # 都是  # 有什么  # 放在  # 也会  # 地说  # 你就  # 你要  # 有很多  # 当你  # 我们可以  # 这张  # 不像 

相关文章： Android自定义listview布局实现上拉加载下拉刷新功能  如何在Windows虚拟主机上快速搭建网站？  深圳网站制作案例,网页的相关名词有哪些？  ,制作一个手机app网站要多少钱？  外贸公司网站制作哪家好,maersk船公司官网？  青岛网站设计制作公司,查询青岛招聘信息的网站有哪些？  如何高效利用亚马逊云主机搭建企业网站？  常州自助建站工具推荐：低成本搭建与模板选择技巧  代购小票制作网站有哪些,购物小票的简要说明？  网站海报制作教学视频教程,有什么免费的高清可商用图片网站，用于海报设计？  北京网站制作公司哪家好一点,北京租房网站有哪些？  相亲简历制作网站推荐大全,新相亲大会主持人小萍萍资料？  如何在云主机快速搭建网站站点？  建站主机助手选型指南：2025年热门推荐与高效部署技巧  html制作网站的步骤有哪些,iapp如何添加网页？  制作营销网站公司,淘特是干什么用的？  山东网站制作公司有哪些,山东大源集团官网？  香港服务器租用每月最低只需15元？  寿县云建站：智能SEO优化与多行业模板快速上线指南  如何用VPS主机快速搭建个人网站？  上海制作企业网站有哪些,上海有哪些网站可以让企业免费发布招聘信息？  SAX解析器是什么，它与DOM在处理大型XML文件时有何不同？  如何通过万网虚拟主机快速搭建网站？  ,南京靠谱的征婚网站？  名字制作网站免费,所有小说网站的名字？  南平网站制作公司,2025年南平市事业单位报名时间？  建站之星各版本价格是多少？  孙琪峥织梦建站教程如何优化数据库安全？  如何通过wdcp面板快速创建网站？  香港服务器建站指南：免备案优势与SEO优化技巧全解析  制作宣传网站的软件,小红书可以宣传网站吗？  建站主机如何选？性能与价格怎样平衡？  贸易公司网站制作流程,出口贸易网站设计怎么做？  详解jQuery中基本的动画方法  如何通过云梦建站系统实现SEO快速优化？  建站之星微信建站一键生成小程序+多端营销系统  如何通过山东自助建站平台快速注册域名？  个人摄影网站制作流程,摄影爱好者都去什么网站？  ui设计制作网站有哪些,手机UI设计网址吗？  如何通过智能用户系统一键生成高效建站方案？  网站制作报价单模板图片,小松挖机官方网站报价？  如何在Golang中使用replace替换模块_指定本地或远程路径  如何使用Golang安装API文档生成工具_快速生成接口文档  制作网站软件推荐手机版,如何制作属于自己的手机网站app应用？  如何在云虚拟主机上快速搭建个人网站？  如何通过VPS建站实现广告与增值服务盈利？  如何在Golang中使用encoding/gob序列化对象_存储和传输数据  网站制作价目表怎么做,珍爱网婚介费用多少？  建站之星官网登录失败？如何快速解决？  公司网站制作费用多少,为公司建立一个网站需要哪些费用？