C# Entity Framework字段加解密集中处理方案咨询

1. 实体基类封装加解密逻辑 #

完全可以通过实体基类的get/set方法封装加解密逻辑，实现读写数据时自动处理。核心思路是把通用的加解密逻辑抽出来，让需要加密的实体属性在读取时自动解密、赋值时自动加密。

实现示例 #

第一步：封装通用加密工具类

public static class CryptoHelper
{
    // 实际项目别硬编码密钥，从配置文件/环境变量读取
    private static readonly string _encryptionKey = "your-secure-key-here";

    public static string Encrypt(string plainText)
    {
        if (string.IsNullOrEmpty(plainText)) return plainText;
        // 替换为你实际使用的加密算法（比如AES）
        return Convert.ToBase64String(Encoding.UTF8.GetBytes(plainText));
    }

    public static string Decrypt(string cipherText)
    {
        if (string.IsNullOrEmpty(cipherText)) return cipherText;
        // 对应上面的解密逻辑
        return Encoding.UTF8.GetString(Convert.FromBase64String(cipherText));
    }
}

第二步：编写实体基类

public abstract class BaseEncryptedEntity
{
    protected string Decrypt(string cipherValue) => CryptoHelper.Decrypt(cipherValue);
    protected string Encrypt(string plainValue) => CryptoHelper.Encrypt(plainValue);
}

第三步：具体实体类使用

public class User : BaseEncryptedEntity
{
    public int Id { get; set; }

    // 私有字段存储数据库中的加密值
    private string _encryptedEmail;
    // 公开属性对外提供明文，自动处理加解密
    public string Email
    {
        get => Decrypt(_encryptedEmail);
        set => _encryptedEmail = Encrypt(value);
    }
}

关键配置（EF Core）

要确保EF映射的是私有字段而非公开属性，否则会把明文存入数据库：

protected override void OnModelCreating(ModelBuilder modelBuilder)
{
    modelBuilder.Entity<User>()
        .Property(u => u.Email)
        .HasField("_encryptedEmail")
        .UsePropertyAccessMode(PropertyAccessMode.Field);
}

更简洁的替代方案：EF Core 值转换器

如果用EF Core，推荐直接用值转换器，不需要手动维护私有字段，EF会自动在读写时触发转换：

modelBuilder.Entity<User>()
    .Property(u => u.Email)
    .HasConversion(
        plainText => CryptoHelper.Encrypt(plainText),
        cipherText => CryptoHelper.Decrypt(cipherText));

2. SQL层面实现加密解密 #

也可以把加解密逻辑放在数据库侧，让应用层完全不用关心加密细节，有两种常用方式：

方式一：列级原生加密（SQL Server为例） #

利用数据库自带的列加密功能，自动处理加解密：

1. 创建数据库主密钥

CREATE MASTER KEY ENCRYPTION BY PASSWORD = 'your-strong-master-password';

2. 创建加密证书

CREATE CERTIFICATE ColumnEncryptCert WITH SUBJECT = 'User Data Encryption';

3. 创建对称密钥

CREATE SYMMETRIC COLUMN ENCRYPTION KEY UserDataKey
WITH VALUES (
    COLUMN_MASTER_KEY = ColumnEncryptCert,
    ALGORITHM = 'RSA_OAEP',
    ENCRYPTED_VALUE = 0x... -- 生成的加密值
);

4. 修改表列启用加密

ALTER TABLE Users
ALTER COLUMN Email NVARCHAR(255) ENCRYPTED WITH (
    ENCRYPTION_TYPE = DETERMINISTIC,
    ALGORITHM = 'AEAD_AES_256_CBC_HMAC_SHA_256',
    COLUMN_ENCRYPTION_KEY = UserDataKey
);

注意：连接字符串要加上Column Encryption Setting=Enabled，且驱动需支持该特性（SQL Server 2016+）。

方式二：存储过程+视图封装 #

如果不想修改列类型，用存储过程处理写入加密，视图处理查询解密：

• 插入/更新存储过程

CREATE PROCEDURE InsertUser
    @Id INT,
    @Email NVARCHAR(255)
AS
BEGIN
    OPEN SYMMETRIC KEY UserDataKey DECRYPTION BY CERTIFICATE ColumnEncryptCert;
    INSERT INTO Users (Id, Email)
    VALUES (@Id, EncryptByKey(Key_GUID('UserDataKey'), @Email));
    CLOSE SYMMETRIC KEY UserDataKey;
END

• 查询视图

CREATE VIEW vw_Users
AS
SELECT 
    Id,
    CONVERT(NVARCHAR(255), DecryptByKey(Email)) AS Email
FROM Users;

EF直接调用存储过程或查询视图即可，无需在代码中写加解密。

方案对比 #

内容的提问来源于stack exchange，提问作者Sandeep Bhutani