C#应用程序中Web Config密码加密问题求助

一、使用ASP.NET内置工具加密（推荐） #

1. 打开管理员权限的命令提示符 #

定位到对应.NET Framework版本的安装目录，例如C:\Windows\Microsoft.NET\Framework\v4.0.30319（根据项目使用的.NET版本调整路径）。

2. 执行加密命令 #

针对connectionStrings节点运行加密命令：

aspnet_regiis.exe -pef "connectionStrings" "你的Web项目根目录绝对路径"

示例：若项目在D:\WebApps\MyProject，命令为：

aspnet_regiis.exe -pef "connectionStrings" "D:\WebApps\MyProject"

3. 验证加密结果 #

打开Web.config，connectionStrings节点内容会变为加密格式，示例如下：

<connectionStrings configProtectionProvider="RsaProtectedConfigurationProvider">
  <EncryptedData Type="http://www.w3.org/2001/04/xmlenc#Element"
    xmlns="http://www.w3.org/2001/04/xmlenc#">
    <EncryptionMethod Algorithm="http://www.w3.org/2001/04/xmlenc#tripledes-cbc" />
    <KeyInfo xmlns="http://www.w3.org/2000/09/xmldsig#">
      <EncryptedKey xmlns="http://www.w3.org/2001/04/xmlenc#">
        <EncryptionMethod Algorithm="http://www.w3.org/2001/04/xmlenc#rsa-1_5" />
        <KeyInfo xmlns="http://www.w3.org/2000/09/xmldsig#">
          <KeyName>Rsa Key</KeyName>
        </KeyInfo>
        <CipherData>
          <CipherValue>...</CipherValue>
        </CipherData>
      </EncryptedKey>
    </KeyInfo>
    <CipherData>
      <CipherValue>...</CipherValue>
    </CipherData>
  </EncryptedData>
</connectionStrings>

4. 解密操作（如需还原明文） #

执行以下命令即可解密：

aspnet_regiis.exe -pdf "connectionStrings" "你的Web项目根目录绝对路径"

二、自定义加密逻辑（适配特殊场景） #

如果内置工具无法满足需求，可自行实现加密解密逻辑：

• 选择可靠的加密算法（如AES）编写工具类
• 将密码加密后写入Web.config的连接字符串
• 项目启动时读取密文解密，动态构建可用的连接字符串

示例C#代码：

public static string DecryptPassword(string encryptedPassword)
{
    // AES解密实现，*注意密钥和初始化向量绝不能硬编码*
    byte[] cipherBytes = Convert.FromBase64String(encryptedPassword);
    using (Aes aes = Aes.Create())
    {
        // 建议从环境变量或安全密钥管理服务获取密钥和IV
        aes.Key = Encoding.UTF8.GetBytes(Environment.GetEnvironmentVariable("DB_ENCRYPT_KEY"));
        aes.IV = Encoding.UTF8.GetBytes(Environment.GetEnvironmentVariable("DB_ENCRYPT_IV"));
        
        using (MemoryStream ms = new MemoryStream())
        {
            using (CryptoStream cs = new CryptoStream(ms, aes.CreateDecryptor(), CryptoStreamMode.Write))
            {
                cs.Write(cipherBytes, 0, cipherBytes.Length);
                cs.FlushFinalBlock();
            }
            return Encoding.UTF8.GetString(ms.ToArray());
        }
    }
}

// 调用示例
var connStrSetting = ConfigurationManager.ConnectionStrings["connection"];
string encryptedPwd = connStrSetting.ConnectionString.Split(';')
    .First(s => s.Trim().StartsWith("Password"))
    .Split('=')[1];
string plainPwd = DecryptPassword(encryptedPwd);
string usableConnStr = connStrSetting.ConnectionString.Replace($"Password={encryptedPwd}", $"Password={plainPwd}");

三、关键注意事项 #

• 内置工具加密依赖服务器的RSA密钥容器，加密后的配置文件默认仅能在原服务器解密；如需跨服务器部署，需导出密钥容器并导入到目标服务器。
• 禁止将加密或明文的敏感配置提交到代码仓库，确保敏感信息不泄露。
• 自定义加密时，密钥和初始化向量必须通过安全方式存储，绝不能硬编码在代码或配置文件中。

内容的提问来源于stack exchange，提问作者Sachin Mishra