C#/WPF中本地MySQL数据库连接字符串加密方案

针对WPF应用反编译导致连接字符串泄露的问题，以下是两种可落地的实现方案，均基于.NET生态的安全机制：

方案一：使用.NET内置Protected Configuration加密（推荐本地部署场景） #

WPF本质是.NET桌面应用，完全支持System.Configuration中的Protected Configuration功能，默认依赖Windows DPAPI加密，加密后的配置仅能在当前机器解密，适合本地MySQL的场景。

1. 添加必要引用 #

右键WPF项目 → 引用 → 搜索并添加System.Configuration程序集。

2. 编写加密/解密工具类 #

创建工具类实现配置节的自动加密，建议在应用首次启动时执行加密操作：

using System.Configuration;

public static class ConfigSecurityHelper
{
    // 加密连接字符串节
    public static void ProtectConnectionStrings()
    {
        var config = ConfigurationManager.OpenExeConfiguration(ConfigurationUserLevel.None);
        var connSection = config.ConnectionStrings;

        if (!connSection.SectionInformation.IsProtected)
        {
            // 使用DPAPI机器级加密，仅当前设备可解密
            connSection.SectionInformation.ProtectSection("DataProtectionConfigurationProvider");
            connSection.SectionInformation.ForceSave = true;
            config.Save(ConfigurationSaveMode.Modified);
        }
    }

    // （可选）解密连接字符串节，仅用于调试或特殊场景
    public static void UnprotectConnectionStrings()
    {
        var config = ConfigurationManager.OpenExeConfiguration(ConfigurationUserLevel.None);
        var connSection = config.ConnectionStrings;

        if (connSection.SectionInformation.IsProtected)
        {
            connSection.SectionInformation.UnprotectSection();
            connSection.SectionInformation.ForceSave = true;
            config.Save(ConfigurationSaveMode.Modified);
        }
    }
}

3. 启动时自动加密 #

在App.xaml.cs的启动事件中触发加密：

protected override void OnStartup(StartupEventArgs e)
{
    base.OnStartup(e);
    // 首次运行自动加密，后续执行会跳过
    ConfigSecurityHelper.ProtectConnectionStrings();
}

4. 读取加密后的连接字符串 #

读取逻辑与未加密时完全一致，ConfigurationManager会自动完成解密：

using MySql.Data.MySqlClient;

// 直接读取无需手动解密
var connString = ConfigurationManager.ConnectionStrings["MySqlConn"].ConnectionString;

using (var conn = new MySqlConnection(connString))
{
    conn.Open();
    // 执行数据库操作
}

方案二：自定义AES加密+凭据管理器存密钥（跨机器部署场景） #

如果应用需要部署到多台设备，DPAPI的机器级加密会失效，此时可采用AES加密连接字符串，同时将密钥存储在Windows凭据管理器中，避免硬编码密钥。

1. 编写AES加密工具类 #

using System.Security.Cryptography;
using System.Text;

public static class AesCryptoHelper
{
    // 从凭据管理器读取密钥，禁止硬编码
    private static byte[] GetEncryptionKey()
    {
        // 示例：使用CredentialManagement NuGet包读取凭据
        using (var cred = new CredentialManagement.Credential
        {
            Target = "WpfMySqlApp_EncryptionKey",
            Type = CredentialManagement.CredentialType.Generic
        })
        {
            if (cred.Load())
            {
                return Encoding.UTF8.GetBytes(cred.Password);
            }
            // 首次运行需初始化密钥并存储
            var newKey = RandomNumberGenerator.GetBytes(32);
            cred.Password = Convert.ToBase64String(newKey);
            cred.PersistanceType = CredentialManagement.PersistanceType.LocalMachine;
            cred.Save();
            return newKey;
        }
    }

    public static string Encrypt(string plainText)
    {
        using var aes = Aes.Create();
        aes.Key = GetEncryptionKey();
        aes.GenerateIV();

        using var ms = new MemoryStream();
        ms.Write(aes.IV, 0, aes.IV.Length);
        using var cs = new CryptoStream(ms, aes.CreateEncryptor(), CryptoStreamMode.Write);
        using var sw = new StreamWriter(cs);
        sw.Write(plainText);

        return Convert.ToBase64String(ms.ToArray());
    }

    public static string Decrypt(string cipherText)
    {
        var cipherBytes = Convert.FromBase64String(cipherText);
        using var aes = Aes.Create();
        aes.Key = GetEncryptionKey();

        // 从密文头部读取IV
        var iv = new byte[aes.BlockSize / 8];
        Array.Copy(cipherBytes, 0, iv, 0, iv.Length);
        aes.IV = iv;

        using var ms = new MemoryStream(cipherBytes, iv.Length, cipherBytes.Length - iv.Length);
        using var cs = new CryptoStream(ms, aes.CreateDecryptor(), CryptoStreamMode.Read);
        using var sr = new StreamReader(cs);
        return sr.ReadToEnd();
    }
}

2. 加密并存储连接字符串 #

首次运行时加密原始连接字符串并写入配置文件：

var originalConn = "server=localhost;database=mydb;uid=user;pwd=pass;";
var encryptedConn = AesCryptoHelper.Encrypt(originalConn);

var config = ConfigurationManager.OpenExeConfiguration(ConfigurationUserLevel.None);
config.AppSettings.Settings["EncryptedMySqlConn"].Value = encryptedConn;
config.Save(ConfigurationSaveMode.Modified);

3. 读取并解密连接字符串 #

using MySql.Data.MySqlClient;

var encryptedConn = ConfigurationManager.AppSettings["EncryptedMySqlConn"];
var connString = AesCryptoHelper.Decrypt(encryptedConn);

using (var conn = new MySqlConnection(connString))
{
    conn.Open();
    // 执行数据库操作
}

额外安全强化建议 #

• 最小权限原则：给MySQL用户分配仅满足业务需求的权限（如仅允许SELECT/INSERT，禁止DROP/ALTER），降低泄露后的危害。
• 代码混淆：使用ConfuserEx等工具对程序集进行混淆，增加反编译难度。
• 避免硬编码：所有敏感信息（包括初始连接字符串）都不要直接写在代码中，建议首次启动时由用户输入并加密存储。

内容的提问来源于stack exchange，提问作者Jannes