c# - Rfc2898DeriveBytes と MSSQL を使用した C# での暗号化されたパスワードに関する問題

Question

アプリケーションのログイン システムを作成しましたが、動作に一貫性がありません。

パスワードが機能する場合もありますが、間違っていると表示される場合もあります。私はそれを正しく入力していると100％確信しています。

パスワードを保存するには、ランダムなソルトを生成し、ソルトを使用してパスワードをハッシュし、ハッシュされたパスワードとソルトをユーザー名と共にデータベースに保存します。

ユーザーを認証するために、指定されたユーザー名に基づいてハッシュ化されたパスワードとソルトを選択します。次に、ソルトを使用してパスワードの試行をハッシュし、元のハッシュされたパスワードと一致するかどうかを確認し、一致する場合はログインできるようにします。

私のコードは次のとおりです。

private const int NumberOfRounds = 5000, SaltLength = 32;
public static byte[] GenerateSalt()
{
    using (var rng = new RNGCryptoServiceProvider())
    {
        var randomNumber = new byte[SaltLength];

        rng.GetBytes(randomNumber);

        return randomNumber;
    }
}

public static byte[] HashPassword(byte[] passwordToHash, byte[] salt)
{
    using (var deriveBytes = new Rfc2898DeriveBytes(passwordToHash, salt, numberOfRounds))
    {
        return deriveBytes.GetBytes(32);
    }
}



public static bool IsPasswordValid(string inputPassword, string hashedPassword, string salt)
{
    byte[] potentialValidPassword = HashPassword(Encoding.Unicode.GetBytes(inputPassword),
                Encoding.Unicode.GetBytes(salt));

    string potentialAsString = Encoding.Unicode.GetString(potentialValidPassword);

    return  Encoding.Unicode.GetBytes(hashedPassword).SequenceEqual(potentialValidPassword) ||
                hashedPassword.Equals(potentialAsString);
}

私のチェックがバイト配列値と文字列値の両方を比較する理由は、バイト値の比較が失敗することがありますが、文字列値は機能するためです。

ユーザーをデータベースに挿入する私のコードは次のとおりです

public SecurityReturnMessage AddUser(string username, string password)
{
    byte[] salt = PasswordManagement.GenerateSalt();

    byte[] hashedPassword = PasswordManagement.HashPassword(Encoding.Unicode.GetBytes(password), salt);

    if (conn.State != ConnectionState.Open)
        conn.Open();

    int result;
    using (IDbCommand comm = conn.CreateCommand())
    {
        comm.CommandText = "usp_IFRS_SEC_USER_INSERT";
        comm.CommandType = CommandType.StoredProcedure;

        SqlParameter hashPwd =new SqlParameter("@hashpwd", SqlDbType.NVarChar)
        {
            Value = Encoding.Unicode.GetString(hashedPassword)
        };

         SqlParameter saltParameter = new SqlParameter("@salt", SqlDbType.NVarChar)
         {
             Value = Encoding.Unicode.GetString(salt)
         };

         comm.Parameters.Add(Extensions.CreateParameter(comm, "@user", username));
         comm.Parameters.Add(hashPwd);
         comm.Parameters.Add(saltParameter);

         var returnVal = comm.CreateParameter();
         returnVal.Direction = ParameterDirection.ReturnValue;
         comm.Parameters.Add(returnVal);

         comm.ExecuteNonQuery();

         result = (int)returnVal.Value;
     }

     if (conn.State != ConnectionState.Closed)
         conn.Close();

     return (SecurityReturnMessage)result;
}

誰かがこれで私を助けることができれば、私は非常に感謝しています.