如何解决Entity Framework中Always Encrypted的「加密方案不匹配」错误

问题本质 #

你碰到的Encryption scheme mismatch异常，核心原因是Entity Framework生成的查询未对条件值做参数化处理：数据库收到的是明文值，但email列采用确定性加密存储，数据库期望匹配的是加密后的值而非明文。SSMS里的参数化查询能正常运行，是因为参数化后驱动会自动将明文参数加密，和加密列的存储值完成匹配。

解决方案 #

1. 确认使用兼容的SQL Client驱动 #

确保项目引用的驱动支持Always Encrypted：

• .NET Core/.NET 5+优先用Microsoft.Data.SqlClient（对Always Encrypted支持更完善）
• .NET Framework需保证System.Data.SqlClient版本≥4.6.0

2. 强制EF生成参数化查询 #

EF默认会对变量类型的条件做参数化，但硬编码的常量可能直接生成明文SQL。你代码里的x.isDeleted == false是布尔常量，EF可能直接输出WHERE isDeleted = 0这类语句，统一用变量传递条件能避免这类问题。

3. 优化现有代码（确保参数化） #

你当前代码里两次执行相同的过滤查询，可以合并成一次，同时保证EF生成参数化SQL：

using (var context = new MyDBContext())
{
    var offices = context.Offices.Where(x => x.isDeleted == false).ToList();
    return offices.Count == 0 ? new List<UserOffice>() : offices;
}

如果后续需要按email列筛选，必须通过变量传递目标值，确保EF生成参数化查询：

string targetEmail = "head@headoffice.com";
var targetOffice = context.Offices.Where(x => x.Email == targetEmail && !x.isDeleted).FirstOrDefault();

4. 不同EF版本的额外配置 #

• EF Core：无需特殊配置，驱动正确的情况下变量条件会自动参数化。若遇异常，可在DbContext的OnConfiguring里显式配置：

  protected override void OnConfiguring(DbContextOptionsBuilder optionsBuilder)
  {
      optionsBuilder.UseSqlServer("你的连接字符串", 
          options => options.EnableRetryOnFailure());
  }
  

• EF6：确认连接字符串已包含column encryption setting = Enabled，同时在DbContext构造函数里做基础配置：

  public MyDBContext() : base("name=MyDBContext")
  {
      ((IObjectContextAdapter)this).ObjectContext.CommandTimeout = 120;
  }
  

关键注意点 #

• 不要在LINQ查询里直接写常量值匹配加密列（比如Where(x => x.Email == "head@headoffice.com")），必须通过变量传递，让EF生成参数化SQL。
• 确定性加密的列仅支持等值比较，无法使用LIKE等模糊查询，这是Always Encrypted的特性限制。

内容的提问来源于stack exchange，提问作者Malleswararao P