ASP.NET Core 5.0中HttpSession存敏感ID是否需加密？安全性如何？

直接给结论：ASP.NET Core的Session默认不会自动加密你存在里面的数据，所以你必须自行加密敏感的CompanyID，当前的明文存储方式不安全。

为什么默认不加密Session内容？ #

ASP.NET Core的Session机制只负责两件事：

• 生成并加密Session ID（存在Cookie里，防止篡改或伪造）
• 序列化/反序列化Session中的数据，然后存在内存、Redis或SQL Server里

但Session里的具体数据，框架只会原样存储，不会做加密处理。不管用哪种存储方式，数据都是明文的：

• 内存Session：服务器进程里直接存明文，服务器被入侵就直接泄露
• 分布式存储（Redis/SQL Server）：数据在存储介质里也是明文，一旦存储介质被非法访问，敏感ID就没了保密性

怎么安全处理敏感ID？ #

方案1：用框架自带的DataProtection加密 #

ASP.NET Core自带了IDataProtector，专门用来加密敏感数据，用法很简单：

1. 先在Startup.cs里配置数据保护（确保密钥持久化，避免重启服务器后无法解密）：

public void ConfigureServices(IServiceCollection services)
{
    services.AddDataProtection()
        .PersistKeysToFileSystem(new DirectoryInfo(@"C:\safe-key-storage")) // 生产环境选权限严格的路径
        .SetApplicationName("YourAppName"); // 不同应用用不同名称，避免密钥混用
    
    services.AddSession();
    // 其他服务配置...
}

2. 在控制器里注入IDataProtectionProvider，加密后存Session，取出来再解密：

private readonly IDataProtector _dataProtector;

public YourController(IDataProtectionProvider provider)
{
    // 用一个唯一的用途标识，确保加密上下文独立
    _dataProtector = provider.CreateProtector("Sensitive.Session.CompanyID");
}

[HttpPost]
[ValidateAntiForgeryToken]
public IActionResult Index([Bind] LoginModel loginModel)
{
    SessionModels session = new SessionModels();
    session = // 从数据库获取用户数据
    
    // 加密CompanyID后存入Session
    string encryptedId = _dataProtector.Protect(session.CompanyID.ToString());
    HttpContext.Session.SetString("CompanyID", encryptedId);
}

[HttpGet]
public IActionResult MyAction(InternalModel internalModel)
{
    string encryptedId = HttpContext.Session.GetString("CompanyID");
    if (!string.IsNullOrEmpty(encryptedId))
    {
        // 解密后使用
        string companyId = _dataProtector.Unprotect(encryptedId);
        // 后续业务逻辑...
    }
}

方案2：尽量别在Session里存敏感数据 #

如果业务允许，最好换个思路：

• 只在Session里存一个无意义的会话令牌，每次需要CompanyID时，用这个令牌去数据库/安全缓存里取（数据库要做好权限控制）
• 用Claims认证，把CompanyID作为Claim加到用户身份中，Claims默认会被加密存在认证Cookie里，更安全

你当前代码的安全风险 #

现在直接存明文CompanyID，风险很明确：

• 内存Session：服务器内存里明文躺着敏感ID，服务器被攻击就直接泄露
• 分布式Session：Redis/SQL Server里存的是明文，一旦存储介质被攻破，所有用户的CompanyID都暴露了
• 哪怕Session ID是加密的，但Session内容本身没加密，只要能拿到Session存储的内容，就能直接拿到ID

内容的提问来源于stack exchange，提问作者cr7oo