用户名/密码数据库检查

Question

如何改进此用户名/密码检查？

    [AcceptVerbs(HttpVerbs.Post)]
    public ActionResult Login(FormCollection collection)
    {
        var users =
            (from p in _dataContext.Users
            where p.Name == collection["Username"] && p.Password == collection["Password"]
             select p);

        if (users.Count() > 0)
        {
            // Login Succeed
            // To get the username I should do something like users.First().Name
            // and that's really bad...

            return RedirectToAction("Login");
        }
        else
        {
            // Login Faild
            return View();
        }
    }

Answer 1

你考虑过微软的Membership API吗？它以安全的方式为您处理用户名和密码的所有详细信息。此外，您似乎计划以明文形式存储密码，这是密码学领域的cardinal sin。

Answer 2

1. 使用 asp.net 会员模式，不要重新发明轮子。
2. 如果您真的想重新发明轮子，则需要加盐和散列密码。只存储密码+盐的哈希值。这是最低限度的。

Answer 3

我假设该查询只能有一个结果。如果是这样，你应该使用SingleOrDefault：

var user = _dataContext.Users.SingleOrDefault(p =>
                  p.Name == collection["Username"]
                  && p.Password == collection["Password"]);

if(user != null)
{
    // Go on...
    return RedirectToAction("Login");
}
else
{
    // Login Faild
    return View();

}

正如其他人指出的那样，您应该在该代码中解决其他问题（即，不存储纯文本密码而是存储哈希）。

Answer 4

假设您的“用户名”字段保证是唯一的（即主键），只需选择用户并比较密码字段。

此外，您通常不应将原始密码存储在数据库中。相反，支持 MD5 哈希或其他东西（也许使用用户名作为盐）。然后将用户输入的哈希值与数据库中的值进行比较，而不是比较原始值。

Answer 5

就像大多数人提到的那样，要么使用已经提供的 Membership API，要么以某种安全的方式加密密码。此外，如果您决定不走这条路并选择加密密码，请确保使用您知道有效的已建立加密库。

如果操作不当，重新发明加密算法可能会出现危险的缺陷（更不用说浪费时间了，因为不会增加任何价值）。如果密码泄露，那么不仅有人可以利用您的网站，还可能利用许多其他网站，因为人们倾向于使用相同的用户名和密码。

最后，在 .Net 命令行中使用 aspnet_regsql.exe 为数据库配置成员资格 API 的架构。从字面上看，配置数据库和切换 web.config 只需不到 5 分钟。