c# - WebMatrix WebSecurity 密码盐

Question

我正在使用 WebMatrix 并建立了一个基于“StarterSite”的网站。在这个入门站点中，您将获得一个不错的基本布局 - 包括注册、登录、忘记密码页面等...

我注意到在数据库中“webpages_Membership”表有一个名为“PasswordSalt”的列。在创建了几个新用户帐户后，此列始终保持空白。所以我假设没有使用密码盐(甚至没有使用默认盐)。

显然这不是最佳做法，但我似乎找不到任何文档告诉我如何设置或管理密码盐。

如何使用 WebSecurity Helper 设置密码盐？

Answer 1

上面的答案给人的印象是在使用 WebSecurity SimpleMembershipProvider 时没有应用加盐。

事实并非如此。实际上没有使用数据库盐字段，但这并不表示在散列密码时没有生成盐。

在 WebSecurity 的 SimpleMembershipProvider 中使用 PBKDF2 算法，随机盐由 StaticRandomNumberGenerator 生成并存储在密码字段中散列:

byte[] outputBytes = new byte[1 + SALT_SIZE + PBKDF2_SUBKEY_LENGTH];
Buffer.BlockCopy(salt, 0, outputBytes, 1, SALT_SIZE); 
Buffer.BlockCopy(subkey, 0, outputBytes, 1 + SALT_SIZE, PBKDF2_SUBKEY_LENGTH);
return Convert.ToBase64String(outputBytes);