如何在EF Core中通过Fluent API配置EncryptColumn

当然有办法解决这个问题！完全不需要在POCO类里加EncryptColumn特性，用EF Core的Fluent API就能优雅地配置指定列的加密逻辑。我给你拆解两种常见的实现思路，你可以根据自己的加密场景选合适的：

一、客户端加密：用Value Converter配合Fluent API #

如果你的加密逻辑是在EF层面处理（读写时自动加解密），可以利用EF Core原生的值转换器（Value Converter），通过Fluent API绑定到指定列，完全不用修改POCO类。

1. 自定义加密转换器 #

先写一个转换器类，封装你的加密解密逻辑：

// 假设你有一个加密服务接口（实际项目建议依赖注入）
public interface IEncryptionService
{
    string Encrypt(string plainText);
    string Decrypt(string encryptedText);
}

public class MyEncryptionService : IEncryptionService
{
    // 这里实现你的具体加密逻辑，比如AES加密
    public string Encrypt(string plainText) => /* 加密代码 */;
    public string Decrypt(string encryptedText) => /* 解密代码 */;
}

// EF值转换器
public class EncryptionConverter : ValueConverter<string, string>
{
    public EncryptionConverter(IEncryptionService encryptionService)
        : base(
            plainText => encryptionService.Encrypt(plainText),
            encryptedText => encryptionService.Decrypt(encryptedText))
    {
    }
}

2. 通过Fluent API配置列 #

在你的DbContext的OnModelCreating方法里，给目标列绑定这个转换器：

protected override void OnModelCreating(ModelBuilder modelBuilder)
{
    // 实例化加密服务（或者通过构造函数注入进来更优雅）
    var encryptionService = new MyEncryptionService();

    // 给User实体的Email列配置加密
    modelBuilder.Entity<User>()
        .Property(u => u.Email)
        .HasConversion(new EncryptionConverter(encryptionService));
}

这样EF在读写Email列时，会自动调用加密和解密方法，完全不用在POCO类加特性。

二、SQL层面加密：结合Fluent API与查询拦截器 #

如果你的加密是在数据库端实现的（比如用SQL Server的ENCRYPTBYKEY/DECRYPTBYKEY函数），可以用Fluent API配置列类型，再配合EF的查询拦截器自动处理SQL层面的加解密逻辑。

1. 配置列存储类型 #

首先在Fluent API里指定列的存储类型（加密后一般是二进制）：

protected override void OnModelCreating(ModelBuilder modelBuilder)
{
    modelBuilder.Entity<User>()
        .Property(u => u.SensitiveData)
        .HasColumnType("varbinary(max)"); // 适配SQL加密后的二进制存储
}

2. 自定义查询拦截器 #

创建一个拦截器，自动在查询时给目标列添加解密SQL：

public class EncryptionQueryInterceptor : IQueryExpressionInterceptor
{
    public Expression QueryCompilationStarting(Expression queryExpression, QueryExpressionEventData eventData)
    {
        // 遍历EF的表达式树，替换目标列为解密函数调用
        var visitor = new EncryptionExpressionVisitor();
        return visitor.Visit(queryExpression);
    }
}

// 自定义表达式访问器，处理列的解密逻辑
public class EncryptionExpressionVisitor : ExpressionVisitor
{
    protected override Expression VisitMember(MemberExpression node)
    {
        // 判断是否是需要解密的列（比如User实体的SensitiveData属性）
        if (node.Member.DeclaringType == typeof(User) && node.Member.Name == nameof(User.SensitiveData))
        {
            // 构造DECRYPTBYKEY的SQL调用（适配SQL Server）
            return Expression.Call(
                typeof(SqlFunctions),
                nameof(SqlFunctions.DecryptByKey),
                Type.EmptyTypes,
                base.Visit(node));
        }
        return base.VisitMember(node);
    }
}

3. 注册拦截器 #

在注册DbContext时添加这个拦截器：

builder.Services.AddDbContext<AppDbContext>(options =>
{
    options.UseSqlServer("你的连接字符串")
           .AddInterceptors(new EncryptionQueryInterceptor());
});

进阶：封装Fluent API扩展方法 #

为了让配置更简洁，你可以把加密配置封装成扩展方法，用起来和特性一样方便：

public static class ModelBuilderExtensions
{
    public static PropertyBuilder<string> IsEncrypted(this PropertyBuilder<string> propertyBuilder, IEncryptionService encryptionService)
    {
        return propertyBuilder.HasConversion(new EncryptionConverter(encryptionService));
    }

    // 针对SQL层面加密的扩展
    public static PropertyBuilder<byte[]> IsSqlEncrypted(this PropertyBuilder<byte[]> propertyBuilder)
    {
        return propertyBuilder.HasColumnType("varbinary(max)");
    }
}

现在配置加密列就一行代码：

modelBuilder.Entity<User>()
    .Property(u => u.Email)
    .IsEncrypted(encryptionService);

这样既保持了POCO类的干净，又实现了和特性一样的配置效果！

内容的提问来源于stack exchange，提问作者João Antunes