.NET 4.5环境下如何在web.config中添加密钥保护？

如果你想实现类似Web API的API密钥验证（用于授权API访问），可以按以下步骤操作：

• 添加自定义配置项：直接在Web.config的<appSettings>节点下添加API密钥配置：

<appSettings>
  <add key="ApiAuthorizationKey" value="你的强随机密钥内容" />
</appSettings>

• 在代码中验证密钥：创建一个自定义的授权过滤器（ActionFilterAttribute）或者消息处理器，在请求到达时检查请求头（比如X-Api-Key）中的值是否与配置的密钥匹配：

  public class ApiKeyAuthorizationFilter : ActionFilterAttribute
  {
      public override void OnActionExecuting(ActionExecutingContext filterContext)
      {
          var apiKey = filterContext.HttpContext.Request.Headers["X-Api-Key"];
          var validApiKey = ConfigurationManager.AppSettings["ApiAuthorizationKey"];
  
          if (string.IsNullOrEmpty(apiKey) || apiKey != validApiKey)
          {
              filterContext.Result = new HttpUnauthorizedResult();
              return;
          }
  
          base.OnActionExecuting(filterContext);
      }
  }
  

  之后将这个过滤器应用到需要保护的API控制器或方法上即可。

首先需要明确：machineKey和API密钥是完全不同的功能——machineKey主要用于加密/解密ASP.NET的视图状态、表单验证票、会话数据等，而非API访问授权。

你提供的配置在.NET Framework 4.5中是可以运行的，但有几个需要注意的点：

• 算法安全性：3DES是较老旧的加密算法，安全性不如AES，建议替换为AES，即修改为validation="AES"、decryption="AES"
• 兼容模式：compatibilityMode="Framework20SP2"是为了兼容.NET 2.0 SP2及更早版本的加密数据。如果你的应用是原生基于.NET 4.5开发的，无需设置该属性，或者可以改为compatibilityMode="Framework45"以启用更现代的加密行为
• 密钥生成：手动指定密钥时，务必使用强随机字符串。也可以让系统自动生成密钥（适合单服务器部署）：

  <machineKey validationKey="AutoGenerate,IsolateApps" 
              decryptionKey="AutoGenerate,IsolateApps" 
              validation="AES" decryption="AES" />
  

  多服务器部署时，必须在所有服务器上使用相同的validationKey和decryptionKey，否则会导致跨服务器的加密数据无法解密。

内容的提问来源于stack exchange，提问作者shreyas35