WPF应用中app.config连接字符串加密的最优方案探讨

背景 #

计划开发一款可在多台PC上运行的WPF应用，其app.config中的连接字符串骨架如下：

<connectionStrings>
    <add name="ConnectionString" 
         connectionString="Server=[Server1];Database=[TargetDB];User Id=[Username];Password=[Password];" 
         providerName="System.Data.SqlClient"/>
    <add name="ConnectionStringMirror" 
         connectionString="Data Source=[Server1];Failover Partner=[Server2];Initial Catalog=[TargetDB];User Id=[Username];Password=[Password];Integrated Security=[DBAuth];" 
         providerName="System.Data.SqlClient"/>
</connectionStrings>

核心需求：用户输入连接字符串详情后，应用完成加密；WPF应用可解密字符串并用于数据库连接。已查阅相关资料，但无法确定最优加密方案及对应安全等级。

参考过的资料包括：

• 《App.config中密码加密》
• 《C#中字符串的加密与解密？》
• 《C#中加密appConfig配置节的部分内容》
• 《App.config - 加密节错误》
• 《使用C#加密和解密.NET连接字符串》
• 《ASP.NET 2.0应用中配置信息的加密》
• 《如何：使用DPAPI加密ASP.NET 2.0中的配置节》

主流加密方案对比 #

1. .NET内置配置节加密（DPAPI/RSA） #

方案说明

.NET框架原生支持对app.config的整个connectionStrings节加密，无需自研加密逻辑，提供两种保护提供者：

• DPAPI保护：分机器级和用户级，机器级加密内容仅能在当前机器解密，用户级仅对加密时的Windows用户可见。
• RSA保护：采用公钥加密、私钥解密，可导出密钥至其他机器，适配多PC部署场景。

操作示例

加密connectionStrings节（可在应用首次运行时执行，或单独做配置工具）：

Configuration config = ConfigurationManager.OpenExeConfiguration(ConfigurationUserLevel.None);
ConfigurationSection section = config.GetSection("connectionStrings");
if (!section.SectionInformation.IsProtected)
{
    // DPAPI机器级加密
    section.SectionInformation.ProtectSection("DataProtectionConfigurationProvider");
    // 或用RSA加密: section.SectionInformation.ProtectSection("RsaProtectedConfigurationProvider");
    section.SectionInformation.ForceSave = true;
    config.Save(ConfigurationSaveMode.Modified);
}

解密：.NET会自动处理解密，直接通过以下代码获取连接字符串即可：

var connStr = ConfigurationManager.ConnectionStrings["ConnectionString"].ConnectionString;

安全等级与优缺点

• 安全等级：高。DPAPI依赖Windows系统加密机制，RSA非对称加密安全性极强。
• 优点：原生支持，无需自研加密逻辑，解密对应用完全透明。
• 缺点：DPAPI机器级不支持多机共享；RSA需管理密钥文件，导出/导入密钥需额外操作。

2. 自定义对称加密（AES） #

方案说明

自主实现AES加密算法，可选择仅加密连接字符串中的敏感部分（如密码），或加密整个连接字符串，密钥需妥善存储。

操作示例

加密/解密工具类：

using System.Security.Cryptography;
using System.Text;

public static class AesEncryption
{
    // 注意：密钥和IV需妥善存储，禁止硬编码在代码中
    private static readonly byte[] Key = Encoding.UTF8.GetBytes("Your32ByteLongSecretKeyHere!!!"); // 256位密钥
    private static readonly byte[] Iv = Encoding.UTF8.GetBytes("Your16ByteIVHere!!"); // 16位初始向量

    public static string Encrypt(string plainText)
    {
        using (Aes aesAlg = Aes.Create())
        {
            aesAlg.Key = Key;
            aesAlg.IV = Iv;
            ICryptoTransform encryptor = aesAlg.CreateEncryptor(aesAlg.Key, aesAlg.IV);

            using (MemoryStream msEncrypt = new MemoryStream())
            {
                using (CryptoStream csEncrypt = new CryptoStream(msEncrypt, encryptor, CryptoStreamMode.Write))
                {
                    using (StreamWriter swEncrypt = new StreamWriter(csEncrypt))
                    {
                        swEncrypt.Write(plainText);
                    }
                    return Convert.ToBase64String(msEncrypt.ToArray());
                }
            }
        }
    }

    public static string Decrypt(string cipherText)
    {
        byte[] cipherBytes = Convert.FromBase64String(cipherText);
        using (Aes aesAlg = Aes.Create())
        {
            aesAlg.Key = Key;
            aesAlg.IV = Iv;
            ICryptoTransform decryptor = aesAlg.CreateDecryptor(aesAlg.Key, aesAlg.IV);

            using (MemoryStream msDecrypt = new MemoryStream(cipherBytes))
            {
                using (CryptoStream csDecrypt = new CryptoStream(msDecrypt, decryptor, CryptoStreamMode.Read))
                {
                    using (StreamReader srDecrypt = new StreamReader(csDecrypt))
                    {
                        return srDecrypt.ReadToEnd();
                    }
                }
            }
        }
    }
}

使用时，将用户输入的敏感信息加密后写入app.config，读取时解密拼接完整连接字符串。

安全等级与优缺点

• 安全等级：中高。AES是对称加密标准，安全性完全依赖密钥的保护程度。
• 优点：灵活性高，可选择加密部分或全部内容，适配多机部署（只要所有机器持有相同密钥）。
• 缺点：密钥需安全存储，硬编码在代码中易被反编译泄露，需额外设计密钥分发和保护机制（如存储在加密注册表项、独立密钥文件中）。

3. 使用Windows凭据管理器 #

方案说明

不在app.config中存储密码等敏感信息，仅保留服务器、数据库名等非敏感配置；将用户名、密码存储到Windows凭据管理器，应用运行时读取敏感信息拼接连接字符串。

操作示例

需先安装NuGet包CredentialManagement简化操作：
写入凭据：

public static void SaveDbCredential(string target, string username, string password)
{
    using (var cred = new Credential())
    {
        cred.Target = target; // 自定义标识，如"MyApp_Database_Cred"
        cred.Username = username;
        cred.Password = password;
        cred.Type = CredentialType.Generic;
        cred.PersistanceType = PersistanceType.LocalComputer; // 本地所有用户可见
        cred.Save();
    }
}

读取凭据：

public static (string Username, string Password) GetDbCredential(string target)
{
    using (var cred = new Credential { Target = target })
    {
        if (cred.Load())
        {
            return (cred.Username, cred.Password);
        }
        return (null, null);
    }
}

拼接连接字符串时，从凭据管理器获取敏感信息填充即可。

安全等级与优缺点

• 安全等级：高。依赖Windows系统凭据管理器的加密存储机制，敏感信息不会落地到配置文件。
• 优点：无需自研加密逻辑，敏感信息与配置文件隔离，多机部署时每台机器独立配置，风险更低。
• 缺点：用户需在每台机器单独配置凭据，无法批量分发；依赖Windows系统环境。

最优方案推荐 #

针对多PC部署的WPF应用，优先推荐两种方案：

1. RSA配置节加密：若需要统一分发加密后的配置文件，使用RSA保护提供者，将密钥导出到所有目标机器，既能实现配置文件加密，又能跨机器解密。
2. Windows凭据管理器：若允许用户在每台机器单独配置敏感信息，这是最安全的方案，彻底避免配置文件泄露敏感信息的风险。

若需灵活控制加密范围，自定义AES加密也是可选方案，但必须做好密钥的安全管理，绝对禁止硬编码。

内容的提问来源于stack exchange，提问作者user23077506