如何在MailKit的Authenticate中隐藏SMTP认证密码？

当然可以避免在代码中硬编码明文密码，以下是几种实用的实现方式：

• 配置文件存储
  将SMTP账号、密码等信息放在应用配置文件（如appsettings.json、Web.config）中，代码仅负责读取配置而非直接写死密码。若担心明文存储风险，可对配置文件中的密码字段加密，读取时再解密。

  示例（.NET Core appsettings.json）：
  配置内容：

  "SmtpSettings": {
    "Server": "smtp.friends.com",
    "Port": 587,
    "Username": "joey",
    "Password": "your_secure_password"
  }
  

  代码读取：

  var smtpSettings = Configuration.GetSection("SmtpSettings").Get<SmtpSettings>();
  using (var client = new SmtpClient())
  {
      client.Connect(smtpSettings.Server, smtpSettings.Port, false);
      client.Authenticate(smtpSettings.Username, smtpSettings.Password);
      client.Send(message);
      client.Disconnect(true);
  }
  

• 系统/云安全存储服务
  借助操作系统的安全凭据存储（如Windows凭据管理器、Linux Keyring）或云服务商的密钥管理服务存储密码，代码中通过对应API读取后传入MailKit。

  示例思路（读取Windows凭据）：

  // 从凭据管理器获取已存储的SMTP密码
  var password = RetrievePasswordFromCredentialManager("smtp.friends.com", "joey");
  using (var client = new SmtpClient())
  {
      client.Connect("smtp.friends.com", 587, false);
      client.Authenticate("joey", password);
      client.Send(message);
      client.Disconnect(true);
  }
  

• 环境变量传递
  将SMTP密码设置为系统环境变量，代码中从环境变量读取，完全避免密码出现在代码或配置文件中。

  示例代码：

  var username = Environment.GetEnvironmentVariable("SMTP_USERNAME");
  var password = Environment.GetEnvironmentVariable("SMTP_PASSWORD");
  using (var client = new SmtpClient())
  {
      client.Connect("smtp.friends.com", 587, false);
      client.Authenticate(username, password);
      client.Send(message);
      client.Disconnect(true);
  }
  

• 使用SecureString重载
  MailKit的Authenticate方法支持传入SecureString类型参数，可将密码转换为SecureString后传入，减少明文在内存中的暴露时间（注意：SMTP认证最终仍需解密密码，但比直接使用string更安全）。

  示例：

  // 注意：此处密码应从安全来源读取，而非硬编码
  using (var securePassword = new SecureString())
  {
      foreach (char c in GetSecurePasswordFromSource())
          securePassword.AppendChar(c);
      securePassword.MakeReadOnly();
  
      using (var client = new SmtpClient())
      {
          client.Connect("smtp.friends.com", 587, false);
          client.Authenticate("joey", securePassword);
          client.Send(message);
          client.Disconnect(true);
      }
  }
  

内容的提问来源于stack exchange，提问作者Claudiu