使用ASPNET_REGIIS解密旧应用web.config报错的解决咨询

报错原因 #

旧加密的web.config和当前环境的加密配置不匹配，核心两点：

• 加密算法不一致：旧应用加密时使用的算法（比如早期的TripleDES）和当前ASPNET_REGIIS默认算法（如AES-256）不同，解密时系统用默认算法解析旧加密内容，直接触发「参数不正确」的错误。
• RSA密钥容器不匹配：旧应用加密依赖的RSA密钥容器（存储加密密钥的容器）和当前环境使用的不是同一个，没有对应密钥就无法完成解密流程。

能否通过命令行设置加密算法？ #

不能直接通过ASPNET_REGIIS命令行参数指定算法，但可以通过修改web.config的配置，指定解密时使用的算法，再执行解密命令。

解决步骤 #

1. 提取旧加密文件的算法：打开旧加密web.config，找到<EncryptionMethod>节点的Algorithm属性值，比如旧值可能是http://www.w3.org/2001/04/xmlenc#tripledes-cbc。
2. 修改当前web.config的加密配置：先备份要解密的web.config，添加或更新<configProtectedData>节点，指定旧算法和对应的RSA密钥容器：

   <configuration>
     <!-- 其他原有配置节点 -->
     <configProtectedData>
       <encryptionAlgorithm>http://www.w3.org/2001/04/xmlenc#tripledes-cbc</encryptionAlgorithm>
       <providers>
         <clear/>
         <add 
           name="RsaProtectedConfigurationProvider" 
           type="System.Configuration.RsaProtectedConfigurationProvider, System.Configuration, Version=2.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a"
           keyContainerName="旧应用加密时使用的密钥容器名称"
           useMachineContainer="true"
         />
       </providers>
     </configProtectedData>
   </configuration>
   

   备注：若不确定旧密钥容器名称，可在旧服务器执行aspnet_regiis -lk命令，列出所有机器级密钥容器查找。
3. 给当前用户添加密钥容器权限：如果当前用户无该密钥容器访问权限，执行授权命令：

   aspnet_regiis -pa "旧密钥容器名称" "你的用户名或用户组"
   

4. 执行解密命令：运行对应解密指令，比如解密connectionStrings节点：

   aspnet_regiis -pdf "connectionStrings" "C:\inetpub\wwwroot\OldApp"
   

5. 恢复默认配置（可选）：解密完成后，将web.config的<configProtectedData>改回默认配置，避免影响后续加密操作。

补充说明 #

拉取未加密的web.config能正常加解密，是因为新加密时使用的是当前环境默认的算法和密钥容器，解密时自然匹配。而旧加密文件基于旧算法和密钥容器生成，当前环境默认配置不兼容，才会触发报错。

内容的提问来源于stack exchange，提问作者Nerakat