MongoDB字典类型字段客户端显式加密优化方案咨询

基础文档结构 #

{
  "_id": "3fa85f64-5717-4562-b3fc-2c963f66afa6",
  "usage": {
    "2024-01-01": {
      "param01": 123,
      "param02": 456
    },
    "2024-01-02": {
      "param01": 789,
      "param02": 147
    }
  }
}

当前问题与中转方案 #

需要对usage字段加密，但直接调用MongoDB.Driver的ClientEncryption.Encrypt方法会失败——因为Dictionary<,>无法直接转换为方法要求的BsonValue基类。目前采用的中转方案是先将usage序列化为JSON再加密：

var encryptedUsage = _clientEncryption.Encrypt(
        JsonSerializer.Serialize(usageData.Usage),
        new EncryptOptions(algorithm: "AEAD_AES_256_CBC_HMAC_SHA_512-Random", keyId: _dataEncryptionKeyId));

优雅方案解答 #

1. 无需JSON序列化的Dictionary加密方案 #

可以直接利用MongoDB的Bson序列化工具，将Dictionary<,>转换为BsonDocument（BsonValue的派生类），跳过JSON序列化步骤：

// 假设usageData.Usage是Dictionary<string, UsageItem>类型
var bsonUsage = new BsonDocument(
    usageData.Usage.Select(kv => new BsonElement(kv.Key, kv.Value.ToBsonDocument()))
);

var encryptedUsage = _clientEncryption.Encrypt(
    bsonUsage,
    new EncryptOptions(algorithm: "AEAD_AES_256_CBC_HMAC_SHA_512-Random", keyId: _dataEncryptionKeyId));

如果UsageItem已经配置了Bson映射，ToBsonDocument()会自动将对象转换为Bson结构；如果是简单类型的Dictionary（比如Dictionary<string, BsonDocument>），直接用new BsonDocument(dictionary)即可。

2. 利用隐式操作符实现自动转换 #

可以为自定义类或Dictionary<,>添加隐式转换操作符，让类型能自动转为BsonDocument，简化代码：

// 针对Dictionary<string, UsageItem>的隐式转换
public static implicit operator BsonDocument(Dictionary<string, UsageItem> usageDict)
{
    return new BsonDocument(
        usageDict.Select(kv => new BsonElement(kv.Key, kv.Value.ToBsonDocument()))
    );
}

// 针对自定义Usage类的隐式转换（如果用类而非Dictionary）
public static implicit operator BsonDocument(Usage usage)
{
    return usage.ToBsonDocument();
}

添加后，就可以直接将Dictionary或自定义类传入Encrypt方法，无需手动转换：

var encryptedUsage = _clientEncryption.Encrypt(
    usageData.Usage, // 自动隐式转为BsonDocument
    new EncryptOptions(algorithm: "AEAD_AES_256_CBC_HMAC_SHA_512-Random", keyId: _dataEncryptionKeyId));

3. 读取时强类型文档的自动解密 #

通过配置MongoDB驱动的AutoEncryptionSettings，可以实现读取文档时自动解密加密字段，并直接映射到强类型属性：

// 配置自动加密/解密设置
var autoEncryptionSettings = new AutoEncryptionSettings
{
    KeyVaultClient = _mongoClient,
    KeyVaultNamespace = "encryption.__keyVault", // 密钥库集合命名空间
    KmsProviders = _kmsProviders, // 你的KMS提供者配置（比如AWS KMS、本地密钥等）
    SchemaMap = new BsonDocument
    {
        ["bsonType"] = "object",
        ["properties"] = new BsonDocument
        {
            ["usage"] = new BsonDocument
            {
                ["encrypt"] = new BsonDocument
                {
                    ["keyId"] = _dataEncryptionKeyId,
                    ["algorithm"] = "AEAD_AES_256_CBC_HMAC_SHA_512-Random"
                }
            }
        }
    }
};

// 创建带自动解密的MongoClient
var mongoClient = new MongoClient(new MongoClientSettings
{
    ConnectionString = "你的MongoDB连接字符串",
    AutoEncryptionSettings = autoEncryptionSettings
});

// 读取文档时自动解密，直接映射到强类型
var collection = mongoClient.GetDatabase("dbName").GetCollection<UsageData>("collectionName");
var usageData = await collection.Find(x => x.Id == "3fa85f64-5717-4562-b3fc-2c963f66afa6").FirstAsync();
// usageData.Usage已自动解密为Dictionary<string, UsageItem>类型

也可以用JSON Schema文件替代硬编码的SchemaMap，更便于维护。

内容的提问来源于stack exchange，提问作者PeeGee