SqlCommandがHASHBYTES関数内でパラメータを渡さないのはなぜですか？

Question

私は簡単なSqlConnectionコードを持っています。HASHBYTESという機能を持っていますので、サーバーからデータを取得できます。

using (var connection = new SqlConnection(connectionString)) 
{ 
    connection.Open(); 

    using (var command = new SqlCommand(commandString, connection)) 
    { 
     command.Parameters.Add(new SqlParameter("mail", email)); 
     command.Parameters.Add(new SqlParameter("password", password)); 
     using (var reader = command.ExecuteReader()) 
     { 
      while (reader.Read()) 
      { 
       return true; 
      } 
      throw new InvalidDataException(); 
     } 
    } 
} 

プロパティをのCommandString は次のようになります。

DECLARE @pass varchar(50); 
SET @pass = @password; 

DECLARE @pwdHash varbinary(max); 
SET @pwdHash = HASHBYTES('SHA2_256', @pass); 

SELECT * FROM Users 
WHERE email=@mail AND pwd=@pwdHash; 

このコードは動作しますが、なぜ仕事下記の短いコードではないでしょうか？

以下のケースでは、関数はwhileループの内部にはなく、代わりに例外をスローします。これらのコードの両方で

DECLARE @pwdHash varbinary(max); 
SET @pwdHash = HASHBYTES('SHA2_256', @password); 

SELECT * FROM Users 
WHERE email=@mail AND pwd=@pwdHash; 

、@password値はSqlParameterとして設定されているので、それが動作するはず、右？または私は何かを逃していますか？

Answer 1

デフォルトでは、文字列パラメータはnvarcharとして渡されます。長い方のコマンドは@passwordをvarcharにキャストしています。バイナリ表現が異なるため、異なるハッシュダイジェストが生成されます。異なるハッシュダイジェストは、ハッシュが異なる場合に既存のレコードと一致しません。

ところで、ハッシュも塩漬けする必要があります。