C# 如何安全地存储用户密码 - 哈希与加盐(Salt)的最佳实践

安全存储用户密码应使用Argon2或BCrypt等强哈希算法，配合唯一随机盐值和足够计算成本；禁用MD5、SHA1等快速哈希；盐须每用户独立且由密码学安全随机数生成；哈希需包含算法、参数、盐并采用标准格式存储。

不要存储明文密码，也不要自己发明加密方式。安全存储用户密码的核心是：使用强哈希算法 + 唯一随机盐值 + 足够的计算成本。

用 Argon2 或 BCrypt，而不是 MD5、SHA1、SHA256

MD5、SHA 系列是快速哈希，专为校验文件设计，不适合密码——它们跑得太快，容易被暴力破解或查表攻击。现代推荐：

• Argon2（目前 NIST 推荐的首选）：抗 GPU/ASIC 攻击，可调内存、时间、并行度
• BCrypt：成熟稳定，.NET 有高质量实现（如 BCrypt.Net-Next），自带盐生成和验证逻辑
• 如果必须用 .NET 内置方案，Rfc2898DeriveBytes（即 PBKDF2-HMAC-SHA256）可用，但安全性弱于前两者

盐（Salt）必须唯一、随机、每次生成

盐不是密钥，不需要保密，但必须满足两个条件：每用户独立 + 密码哈希前由密码学安全随机数生成器产生（如 RandomNumberGenerator）。

• ❌ 不要复用同一盐值，不要用用户名、ID、固定字符串当盐
• ✅ 盐长度建议 ≥ 16 字节；BCrypt 自动处理盐，Argon2 推荐 16–32 字节
• 盐可以和哈希值一起存数据库（比如拼成 $argon2id$v=19$m=65536,t=3,p=4$...$... 这种标准格式），无需额外字段加密

哈希结果要带参数、可验证、防篡改

只存一个“哈希字符串”不够。必须同时记录算法、参数（如迭代次数、内存大小）、盐和输出——否则未来无法升级或验证。

• 用标准格式序列化：Argon2 推荐使用 Argon2.NET 的 Hash 方法，它默认输出符合 IETF RFC 9106 的 Base64 编码字符串
• BCrypt 使用 BCrypt.Net-Next 的 HashPassword，返回含盐和参数的单字符串（如 $2a$12$...）
• 验证时直接传入原始密码和完整哈希字符串，库自动提取盐与参数完成比对

别忽略验证流程与防御时机

哈希只是存储环节。真实系统中还需注意：

• 登录时统一用恒定时间比较（BCrypt.Verify 或 Argon2.Verify 已内置，勿用 ==）
• 对频繁失败的账号做限速（如滑动窗口计数器），防暴力撞库
• 前端可加简单密码强度提示，但绝不前端哈希——服务端仍需重新哈希，否则等于放弃服务端防护
• 定期审计：检查是否还有旧算法遗留（如 SHA1 存储的密码），迁移时采用“懒更新”策略（用户下次登录时重哈希）

基本上就这些。核心不是“怎么写代码”，而是“选对工具+拒绝捷径”。用成熟库、走标准流程、让盐和参数随哈希一起落库——安全就落在细节里。

# c#  # word  # 前端  # go  # 编码  # 字节  # 工具  # mac  # .net  # asic  # 字符串  # 算法  # 数据库  # 随机数  # 服务端  # 可调  # 不需要  # 推荐使用  # 落在  # 不适合  # 高质量  # 自带  # 专为 

相关文章： 如何在新浪SAE免费搭建个人博客？  PHP正则匹配日期和时间(时间戳转换)的实例代码  建站之星导航配置指南：自助建站与SEO优化全解析  如何在景安云服务器上绑定域名并配置虚拟主机？  如何通过VPS建站无需域名直接访问？  如何通过商城免费建站系统源码自定义网站主题？  高防服务器租用首荐平台，企业级优惠套餐快速部署  简易网站制作视频教程,使用记事本编写一个简单的网页html文件？  创业网站制作流程,创业网站可靠吗？  沈阳个人网站制作公司,哪个网站能考到沈阳事业编招聘的信息？  枣阳网站制作,阳新火车站打的到仙岛湖多少钱？  如何选择高效可靠的多用户建站源码资源？  建站之星免费版是否永久可用？  c++如何打印函数堆栈信息_c++ backtrace函数与符号名解析【方法】  h5网站制作工具有哪些,h5页面制作工具有哪些？  如何快速完成中国万网建站详细流程？  建站之星IIS配置教程：代码生成技巧与站点搭建指南  mc皮肤壁纸制作器,苹果平板怎么设置自己想要的壁纸我的世界？  建设网站制作价格,怎样建立自己的公司网站？  制作网站公司那家好,网络公司是做什么的？  建站之星安装模板失败：服务器环境不兼容？  重庆网站制作公司哪家好,重庆中考招生办官方网站？  代购小票制作网站有哪些,购物小票的简要说明？  免费制作海报的网站,哪位做平面的朋友告诉我用什么软件做海报比较好?ps还是cd还是ai这几个软件我都会些我是做网页的？  如何解决ASP生成WAP建站中文乱码问题？  移民网站制作流程,怎么看加拿大移民官网？  建站主机功能解析：服务器选择与快速搭建指南  网站制作公司排行榜,四大门户网站排名？  如何自定义建站之星网站的导航菜单样式？  网站制作模板下载什么软件,ppt模板免费下载网站？  义乌企业网站制作公司,请问义乌比较好的批发小商品的网站是什么？  网站建设制作需要多少钱费用,自己做一个网站要多少钱，模板一般多少钱？  网站制作话术技巧,网站推广做的好怎么话术？  北京制作网站的公司排名,北京三快科技有限公司是做什么？北京三快科技？  logo在线制作免费网站在线制作好吗,DW网页制作时，如何在网页标题前加上logo？  Java解压缩zip - 解压缩多个文件或文件夹实例  如何选择可靠的免备案建站服务器？  建站主机是什么？如何选择适合的建站主机？  设计网站制作公司有哪些,制作网页教程？  Android自定义控件实现温度旋转按钮效果  如何用西部建站助手快速创建专业网站？  定制建站流程解析：需求评估与SEO优化功能开发指南  陕西网站制作公司有哪些,陕西凌云电器有限公司官网？  如何在阿里云ECS服务器部署织梦CMS网站？  jQuery 常见小例汇总  广德云建站网站建设方案与建站流程优化指南  极客网站有哪些,DoNews、36氪、爱范儿、虎嗅、雷锋网、极客公园这些互联网媒体网站有什么差异？  如何快速重置建站主机并恢复默认配置？  建站之星展会模版如何一键下载生成？  韩国服务器如何优化跨境访问实现高效连接？