asp.net - 用户登录网站时的 T-SQL AES 加密与哈希/加盐

Question

我有一个项目，显然该软件的设计者没有考虑安全性。

密码以明文形式存储并通过明文传输。所以我剩下的任务就是解决这个问题。

我对安全性有点生疏，所以我的问题是:对于在线用户密码身份验证，使用散列/加盐技术更好还是使用 AES 加密更好？我能说一下优点和缺点吗？

以某种方式使用 ASP.NET 成员资格提供程序会更好吗？这很容易做到吗？我以前用过它，但该软件调用它自己的表，所以我不确定这是否会带来更多麻烦。

如果这个问题已经得到解答，有人可以指导我去那里，因为我没有找到比较。

Answer 1

您绝对不应该使用对称加密来存储密码。

为每个用户提供随机盐，对其密码进行哈希处理，将盐和哈希值存储在数据库中。然后，在登录请求时，您通过电子邮件/用户名/id 等获取用户，然后使用与该用户绑定(bind)的盐并对他们提供的密码进行散列，然后将其与存储的散列进行匹配。如果匹配，则登录，否则密码错误。

如果您使用内置的 ASP.NET 成员资格提供程序，它应该会为您执行此操作。