SqlCommand cmd = new SqlCommand("select aspnet_Users.id, aspnet_Membership.Password from aspnet_Users,aspnet_Membership where id= '" + TextBox1.Text + "'AND Password= '" + TextBox2.Text + "'", conn);
Вы пользуетесь ASP.NET поставщик членства, так что вам не нужно проверять пароль самостоятельно; просто позвоните в службу поддержки. Членство.Методы validateuser[^] метод.
bool isPasswordCorrect = Membership.ValidateUser(TextBox1.Text, TextBox2.Text);NB: Вы должны давать своим элементам управления осмысленные имена, а не просто принимать имена по умолчанию, назначенные дизайнером Visual Studio. Конечно, вы можете вспомнить, какое значение
TextBox42 представляет сейчас но когда вы вернетесь к своему коду через несколько недель , вы этого не сделаете.
Как уже говорилось ранее, ваш код созрел для того, чтобы Уязвимость SQL-инъекции.
Никогда не стройте вместе и Sql-команду с пользовательским вводом, вы всегда должны использовать Parameters для добавления пользовательского контента в команду. Это также имеет то преимущество, что поставщик данных SQL будет автоматически устанавливать типы (INT, VARCHAR, DATE) на основе предоставляемого содержимого (если это не так НУЛЕВОЙ).
Способ, которым я бы написал код, состоял бы в том, чтобы следовать этому порядку операций:
1. SQL-команда для получения Пароль на основе имени пользователя.
2. Выполните скалярную команду - если нет возврата имя пользователя его не нашли.
3. Используйте все, что угодно Hash функция была применена к сохраненному паролю при возврате
4. сравните хэшированную версию попытки ввода пароля с тем, что было сохранено в БД
Это основная структура того, как это будет выглядеть. Вам нужно будет соответствующим образом настроить код для вашей структуры таблицы и функций
(Извините, у меня нет времени исследовать, что у вас есть в использовании, и эта клавиатура плохая, поэтому я опустил некоторые символы/скобки)
SqlCommand cmd = new SqlCommand("SELECT PasswordHash FROM AccountTable WHERE UserName = @UserName", conn);
cmd.Parameters.AddWithValue("UserName", TextBox1.Text);
conn.Open();
var SqlReturn = cmd.ExecuteScalar();
if (SqlReturn == null)
// account not found
else
string PasswordAttempt = HashFunctionName(TextBox2.Text); // whatever this function is called
if (PasswordAttempt != SqlReturn.ToString()
// login failed
else
// Success
Цитата:Мне нужен запрос или код c# для сравнения хэшированного пароля и числового пароля на странице входа вручную
SqlCommand cmd = new SqlCommand("select aspnet_Users.id, aspnet_Membership.Password from aspnet_Users,aspnet_Membership where id= '" + TextBox1.Text + "'AND Password= '" + TextBox2.Text + "'", conn);
Тут две вещи не так:
1. никогда не используйте конкатенацию строк для создания SQL-команд, так как это делает вашу базу данных уязвимой для SQL-инъекций. Используйте правильные параметризованные запросы.
2. Не передавайте открытый текстовый пароль в качестве одного из параметров запроса. Сначала вы должны создать хэш введенного текста и сравнить два хэш-значения.
как я создаю хэш введенного текста?
Точно так же, как вы создали исходный хэш.
Я делаю это в конфигурационном файле passwordFormat="Hashed"
Извините, я не понимаю; какой конфигурационный файл и какой пароль вы имеете в виду?
<членство>
<провайдеры>
<очистить>
<add name="AspNetSqlMembershipProvider" type="System.Web.Security.SqlMembershipProvider, System.Web, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a" connectionstringname="localsqlserver" enablepasswordretrieval="false" enablepasswordreset="true" requiresquestionandanswer="false" requiresuniqueemail="false" passwordformat="Hashed" minrequirednonalphanumericcharacters="0" minrequiredpasswordlength="3" Maxinvalidpasswordattempts="3" passwordattemptwindow="15">
это мой код в файле web.config, который я делаю для своих разрешенных ролей в веб-приложении
и я вставляю столбец identity и называю его id в базе данных теперь мне нужен c# sqlcommand для сравнения между хэшированным паролем и фактическим паролем, где этот идентификатор и пароль истинны
*Я заставляю форму входа вводить этот идентификатор и пароль вместо имени пользователя и пароля
Извините, у меня нет никакого опыта в этом деле. ASP.NET.
спасибо за вашу помощь