因此，我阅读了许多有关 Web 应用程序密码系统的文章，它们看起来都非常令人困惑。有人说你需要散列你的 PW 并建立一个 https 安全连接，其他人说你只需要散列和加盐你的 PW。
我只知道，在这样做了数百万次之后，可能有某种库可以为我在客户端输入的密码做很多事情，并给我一些安全保存的东西我的 SQL Server 2008 数据库。
我需要担心所有的 https 安全连接吗？我可以确保我正确地散列密码吗？要散列它，我需要任何外部库还是可以完全在 .NET 中创建一个安全的用户/密码系统？
我以前从未这样做过，所以任何文章、提示、链接都会很有帮助。谢谢。
【问题讨论】：
标签： security sql-server-2008 asp.net-mvc-3 hash passwords
如果您不想自己动手，可以随时使用ASP.Net Membership
ASP.NET 成员资格为您提供了一种内置方式来验证和存储用户凭据。因此，ASP.NET 成员身份可帮助您管理网站中的用户身份验证。通过使用 ASP.NET 登录控件，您可以使用 ASP.NET 成员身份和 ASP.NET 表单身份验证来创建一个完整的用户身份验证系统。
ASP.NET 成员支持以下设施：
创建新用户和密码。
在 Microsoft SQL Server、Active Directory 或替代数据存储中存储成员信息（用户名、密码和支持数据）。
对访问您网站的用户进行身份验证。您可以通过编程方式对用户进行身份验证，也可以使用 ASP.NET 登录控件来创建一个只需要很少或不需要代码的完整身份验证系统。
管理密码，包括创建、更改和重置密码。根据您选择的会员选项，会员系统还可以提供自动密码重置系统，该系统接受用户提供的问题和响应。
为经过身份验证的用户提供唯一标识，您可以在自己的应用程序中使用该标识，并且还与 ASP.NET 个性化和角色管理（授权）系统集成。
指定自定义成员资格提供程序，它允许您替换自己的代码来管理成员资格并在自定义数据存储中维护成员资格数据
Configuring an ASP.NET Application to Use Membership
github 上还有一个名为 Membership Starter Kit 的 MVC 项目
【讨论】：
默认的 MVC3 Internet 应用程序模板（文件新项目）已经为您提供了此设置，只需将 [Authorize()] 添加到您要保护的控制器/方法中。不要推出新的东西，使用适合你的东西。此外，请使用 SSL，因为有人可以通过嗅探流量和简单地使用您的 cookie 轻松窃取会话。就这么简单。
【讨论】：