C# 如何安全地存储用户密码 - 哈希与加盐(Salt)的最佳实践

安全存储用户密码应使用Argon2或BCrypt等强哈希算法，配合唯一随机盐值和足够计算成本；禁用MD5、SHA1等快速哈希；盐须每用户独立且由密码学安全随机数生成；哈希需包含算法、参数、盐并采用标准格式存储。

不要存储明文密码，也不要自己发明加密方式。安全存储用户密码的核心是：使用强哈希算法 + 唯一随机盐值 + 足够的计算成本。

用 Argon2 或 BCrypt，而不是 MD5、SHA1、SHA256

MD5、SHA 系列是快速哈希，专为校验文件设计，不适合密码——它们跑得太快，容易被暴力破解或查表攻击。现代推荐：

• Argon2（目前 NIST 推荐的首选）：抗 GPU/ASIC 攻击，可调内存、时间、并行度
• BCrypt：成熟稳定，.NET 有高质量实现（如 BCrypt.Net-Next），自带盐生成和验证逻辑
• 如果必须用 .NET 内置方案，Rfc2898DeriveBytes（即 PBKDF2-HMAC-SHA256）可用，但安全性弱于前两者

盐（Salt）必须唯一、随机、每次生成

盐不是密钥，不需要保密，但必须满足两个条件：每用户独立 + 密码哈希前由密码学安全随机数生成器产生（如 RandomNumberGenerator）。

• ❌ 不要复用同一盐值，不要用用户名、ID、固定字符串当盐
• ✅ 盐长度建议 ≥ 16 字节；BCrypt 自动处理盐，Argon2 推荐 16–32 字节
• 盐可以和哈希值一起存数据库（比如拼成 $argon2id$v=19$m=65536,t=3,p=4$...$... 这种标准格式），无需额外字段加密

哈希结果要带参数、可验证、防篡改

只存一个“哈希字符串”不够。必须同时记录算法、参数（如迭代次数、内存大小）、盐和输出——否则未来无法升级或验证。

• 用标准格式序列化：Argon2 推荐使用 Argon2.NET 的 Hash 方法，它默认输出符合 IETF RFC 9106 的 Base64 编码字符串
• BCrypt 使用 BCrypt.Net-Next 的 HashPassword，返回含盐和参数的单字符串（如 $2a$12$...）
• 验证时直接传入原始密码和完整哈希字符串，库自动提取盐与参数完成比对

别忽略验证流程与防御时机

哈希只是存储环节。真实系统中还需注意：

• 登录时统一用恒定时间比较（BCrypt.Verify 或 Argon2.Verify 已内置，勿用 ==）
• 对频繁失败的账号做限速（如滑动窗口计数器），防暴力撞库
• 前端可加简单密码强度提示，但绝不前端哈希——服务端仍需重新哈希，否则等于放弃服务端防护
• 定期审计：检查是否还有旧算法遗留（如 SHA1 存储的密码），迁移时采用“懒更新”策略（用户下次登录时重哈希）

基本上就这些。核心不是“怎么写代码”，而是“选对工具+拒绝捷径”。用成熟库、走标准流程、让盐和参数随哈希一起落库——安全就落在细节里。

# c#  # word  # 前端  # go  # 编码  # 字节  # 工具  # mac  # .net  # asic  # 字符串  # 算法  # 数据库  # 随机数  # 服务端  # 可调  # 不需要  # 推荐使用  # 落在  # 不适合  # 高质量  # 自带  # 专为 

相关文章： 建设网站制作价格,怎样建立自己的公司网站？  教学网站制作软件,学习*后期制作的网站有哪些？  网站制作多少钱一个,建一个论坛网站大约需要多少钱？  Python多线程使用规范_线程安全解析【教程】  实惠建站价格推荐：2025年高性价比自助建站套餐解析  官网建站费用明细查询_企业建站套餐价格及收费标准指南  建站主机空间推荐 高性价比配置与快速部署方案解析  如何在建站之星绑定自定义域名？  深圳网站制作公司好吗,在深圳找工作哪个网站最好啊？  linux top下的 minerd 木马清除方法  nginx修改上传文件大小限制的方法  娃派WAP自助建站：免费模板+移动优化，快速打造专业网站  黑客入侵网站服务器的常见手法有哪些？  如何快速生成ASP一键建站模板并优化安全性？  Python文件管理规范_工程实践说明【指导】  哈尔滨网站建设策划,哈尔滨电工证查询网站？  外贸公司网站制作哪家好,maersk船公司官网？  如何选择香港主机高效搭建外贸独立站？  电商平台网站制作流程,电商网站如何制作？  建站之星备案是否影响网站上线时间？  电商网站制作价格怎么算,网上拍卖流程以及规则？  大连 网站制作,大连天途有线官网？  建站之星导航菜单设置与功能模块配置全攻略  定制建站哪家更专业可靠？推荐榜单揭晓  建站上传速度慢？如何优化加速网站加载效率？  企业网站制作费用多少,企业网站空间一般需要多大，费用是多少？  南宁网站建设制作定制,南宁网站建设可以定制吗？  专业企业网站设计制作公司,如何理解商贸企业的统一配送和分销网络建设？  弹幕视频网站制作教程下载,弹幕视频网站是什么意思？  建站之星展会模版如何一键下载生成？  新网站制作渠道有哪些,跪求一个无线渠道比较强的小说网站，我要发表小说？  一键制作网站软件下载安装,一键自动采集网页文档制作步骤？  如何快速搭建自助建站会员专属系统？  公司网站的制作公司,企业网站制作基本流程有哪些？  唐山网站制作公司有哪些,唐山找工作哪个网站最靠谱？  台州网站建设制作公司,浙江手机无犯罪记录证明怎么开？  定制建站是什么？如何实现个性化需求？  北京网站制作公司哪家好一点,北京租房网站有哪些？  如何在景安服务器上快速搭建个人网站？  C++用Dijkstra(迪杰斯特拉)算法求最短路径  香港服务器WordPress建站指南：SEO优化与高效部署策略  公司网站制作需要多少钱,找人做公司网站需要多少钱？  建站一年半SEO优化实战指南：核心词挖掘与长尾流量提升策略  如何使用Golang安装API文档生成工具_快速生成接口文档  制作网站的过程怎么写,用凡科建站如何制作自己的网站？  盘锦网站制作公司,盘锦大洼有多少5G网站？  制作营销网站公司,淘特是干什么用的？  如何在建站主机中优化服务器配置？  网站网页制作专业公司,怎样制作自己的网页？  浅析上传头像示例及其注意事项