SQL HASHBYTES 返回不同的值

Question

在我的应用程序中，HASHBYTES SQL 函数为相同的字符串返回不同的值。 下面是我的用户创建代码。

Guid fillerG = Guid.NewGuid(); 
 using (SqlCommand com = new SqlCommand("INSERT INTO App_Users (UserName, PasswordHash, PasswordSalt) VALUES ('" + userNameTxt.Text + "', HASHBYTES ( 'SHA1', CONVERT(NVARCHAR(100), '" + userPassword.Text +          fillerG.ToString() + "') ),  '" + fillerG.ToString() + "'; ", con))
{
     com.ExecuteNonQuery();
}

当我在我的登录页面中比较上面插入的行时，它不匹配。 这是我的比较脚本。

SqlCommand loginCom = new SqlCommand("select COUNT(UserID) FROM App_Users WHERE UserName = '" + Login1.UserName + "' AND PasswordHash = HASHBYTES('SHA1', '" + Login1.Password + "' + CONVERT(NVARCHAR(36), PasswordSalt))", loginCon);

第一个代码将密码哈希存储为：

0xDAC9280F85B40C06314228876717E342432807DB

但在查询窗口中，具有相同值的 HASHBYTES 函数返回：

 0xA561FBD35713F922AD761594658C193F12B82791

更新： 看这张图，代码存储的密码Hash和查询生成的密码不一样（我给的密码是'ee'）

Answer 1

您将两个不同的字符串传递给 HASHBYTES 这就是您的原因 得到不同的结果。

在这个查询中：

using (SqlCommand com = new SqlCommand("INSERT INTO App_Users (UserName, PasswordHash, PasswordSalt) VALUES ('" + userNameTxt.Text + "', HASHBYTES ( 'SHA1', CONVERT(NVARCHAR(100), '" + userPassword.Text +          fillerG.ToString() + "') ),  '" + fillerG.ToString() + "'; ", con))
{
     com.ExecuteNonQuery();
}

您正在使用userPassword.Text +fillerG.ToString() 作为字符串 但是

在这个查询中：

Login1.Password.Replace("'", "''") + "' + CONVERT(NVARCHAR(36), PasswordSalt))", loginCon);

您正在替换引号

Login1.Password.Replace("'", "''")

试试这样：使用参数化查询

SqlCommand cmd = new SqlCommand("INSERT INTO App_Users (UserName, PasswordHash, PasswordSalt) VALUES (@username, HASHBYTES ( 'SHA1', CONVERT(NVARCHAR(100),@pass')),@salt), con)

    cmd.Parameter.AddWithValue("@username",userNameTxt.Text);
    cmd.Parameter.AddWithValue("@pass",userPassword.Text);
    cmd.Parameter.AddWithValue("@salt",fillerG.ToString());

和

 SqlCommand cmd = new SqlCommand("select COUNT(UserID) FROM App_Users WHERE UserName = @username AND PasswordHash = HASHBYTES ( 'SHA1', CONVERT(NVARCHAR(100),@salt)))), con)

cmd.Parameter.AddWithValue("@username",userNameTxt.Text);
cmd.Parameter.AddWithValue("@salt",Login1.Password);

Login1.Password 和 FillerG.ToString() 必须相同