SQL HASHBYTES返回不同的值

Question

在我的应用程序中，HASHBYTES SQL函数为同一个字符串返回不同的值。 以下是我的用户创建代码。

Guid fillerG = Guid.NewGuid(); 
 using (SqlCommand com = new SqlCommand("INSERT INTO App_Users (UserName, PasswordHash, PasswordSalt) VALUES ('" + userNameTxt.Text + "', HASHBYTES ( 'SHA1', CONVERT(NVARCHAR(100), '" + userPassword.Text +          fillerG.ToString() + "') ),  '" + fillerG.ToString() + "'; ", con))
{
     com.ExecuteNonQuery();
}

当我在登录页面中比较上面插入的行时，它并不匹配。 这是我的比较脚本。

SqlCommand loginCom = new SqlCommand("select COUNT(UserID) FROM App_Users WHERE UserName = '" + Login1.UserName + "' AND PasswordHash = HASHBYTES('SHA1', '" + Login1.Password + "' + CONVERT(NVARCHAR(36), PasswordSalt))", loginCon);

第一个代码将passwordHash存储为：

0xDAC9280F85B40C06314228876717E342432807DB

但是在查询窗口中，具有相同值的HASHBYTES函数返回：

 0xA561FBD35713F922AD761594658C193F12B82791

更新 检查此图片，代码存储的密码哈希值与查询生成的密码不同（我提供的密码是＆＃39; ee＆＃39;）

Answer 1

  

你正在将两个不同的字符串传递给HASHBYTES，这就是你的原因   得到不同的结果。

在此查询中：

using (SqlCommand com = new SqlCommand("INSERT INTO App_Users (UserName, PasswordHash, PasswordSalt) VALUES ('" + userNameTxt.Text + "', HASHBYTES ( 'SHA1', CONVERT(NVARCHAR(100), '" + userPassword.Text +          fillerG.ToString() + "') ),  '" + fillerG.ToString() + "'; ", con))
{
     com.ExecuteNonQuery();
}

您正在使用userPassword.Text +fillerG.ToString()作为字符串 但

在此查询中：

Login1.Password.Replace("'", "''") + "' + CONVERT(NVARCHAR(36), PasswordSalt))", loginCon);

您正在替换引号

Login1.Password.Replace("'", "''")

尝试这样：使用参数化查询

SqlCommand cmd = new SqlCommand("INSERT INTO App_Users (UserName, PasswordHash, PasswordSalt) VALUES (@username, HASHBYTES ( 'SHA1', CONVERT(NVARCHAR(100),@pass')),@salt), con)

    cmd.Parameter.AddWithValue("@username",userNameTxt.Text);
    cmd.Parameter.AddWithValue("@pass",userPassword.Text);
    cmd.Parameter.AddWithValue("@salt",fillerG.ToString());

和

 SqlCommand cmd = new SqlCommand("select COUNT(UserID) FROM App_Users WHERE UserName = @username AND PasswordHash = HASHBYTES ( 'SHA1', CONVERT(NVARCHAR(100),@salt)))), con)

cmd.Parameter.AddWithValue("@username",userNameTxt.Text);
cmd.Parameter.AddWithValue("@salt",Login1.Password);

  

Login1.Password和fillerG.ToString（）必须相同