カスタム認証 - ユーザーアカウント偽装のベストプラクティス？

Question

私は、ユーザーパスワードのハッシュを格納し、そのハッシュに対して入力されたパスワードをテストして認証チケットを与える.NETアプリケーションでカスタム認証メカニズムを使用しています。

パスワードがハッシュされていると、明らかにユーザーのパスワードがわかりません。

デバッグなどでは、ユーザーを偽装してアカウントにログインする必要がありますが、パスワードがないという事実を回避するシステムが必要です。

マスターパスワードの認証に失敗した場合の2次テストですが、これは少し弱いと考えられますが、マスターパスワードが侵害された場合、電子メールアドレスがわかっていればすべてのアカウントにアクセスできます。

この問題の解決策はありますか？

Answer 1

これは明らかに間接的な応答ですが、実際にアプリケーションが認証プロセスを回避できるようにする機能を構築するのは危険な方法です。私は実際のプロセスがデバッグしようとしていることを見ていきます。これは、テストするのに役立つ特定のアカウントについてです。その問題を解決することに集中します。おそらく、より堅牢な単体テストを使用してこれを解決するでしょう。おそらく、同じ役割のテストアカウントでも動作を複製する必要があります。いずれにしても、私は意図的にあなたの認証スキームを壊すのを避けるでしょう！

ところで、「ユーザーパスワードのハッシュを保存する」と言えば、そこには暗号のランダムな塩もあります。