我开发了一个使用 ASP.NET 成员资格的网站。根据以前网站的 cmets，我决定对密码进行加密，以便忘记密码的用户可以恢复。
但是，新网站（现在有超过 500 名注册用户）给我带来了一些批评，认为行业标准实际上是对密码进行哈希处理。
但是，经过相当广泛的搜索，我找不到任何关于如何将现有用户的密码从加密转换为散列的信息。
我知道我可以更改 web.config 文件，新用户的密码将使用新格式。但它不会更新现有用户。
注意：我之前问过一个类似的问题，但大多只是争论哪个更好，加密或散列。我已经结束了那次讨论，但我一直无法找到一种方法来转换它们而不会失去数百名已经注册的用户。
【问题讨论】：
标签： asp.net asp.net-membership password-protection
您似乎已经知道如何解密密码和更改 web.config 文件，但您对如何实施其余过程感到困惑。
使用ILSpy，以下是为每个用户生成盐的方法：
byte[] array = new byte[16];
new RNGCryptoServiceProvider().GetBytes(array);
return Convert.ToBase64String(array);
一旦你有了盐，下面是如何生成密码：
byte[] bytes = Encoding.Unicode.GetBytes(pass);
byte[] array = Convert.FromBase64String(salt);
byte[] array2 = new byte[array.Length + bytes.Length];
Buffer.BlockCopy(array, 0, array2, 0, array.Length);
Buffer.BlockCopy(bytes, 0, array2, array.Length, bytes.Length);
using (SHA1CryptoServiceProvider sha1 = new SHA1CryptoServiceProvider()) {
return Convert.ToBase64String(sha1.ComputeHash(array2));
}
其中pass是you计算出来的纯文本密码，salt是上面第一个代码sn-p中计算出来的字符串。 default algorithm is SHA1，如果您想知道为什么要使用它。
因为这是一个一次性的过程，所以我会编写一个 HTTP 处理程序来在一个短的、预定的维护期间手动更新数据库 - 希望你有这个奢侈。 （显然先备份和测试）。您需要更新aspnet_Membership 表中的以下字段：
Password - 以上计算PasswordFormat - 1PasswordSalt - 以上计算从来没有做过这样的事情，但希望这会让你开始:)
【讨论】：
恕我直言，Greg 对您之前的问题 (Changing passwordFormat from Encrypted to Hashed) 的回复（以及相关的 cmets）是可行的方法。本质上，您想要：
完成后，应将所有加密密码用户转换为散列。
【讨论】：
也许我在这里遗漏了一些东西，但它应该很简单。创建一个解密密码的过程，然后相应地加盐并将加盐的哈希值+用户的解密密码存储在数据库中。显然，您不想散列用户的加密密码。也不要忘记储存盐。
【讨论】：