.NET 5 Web API如何安全存储与调用外部API密钥避免泄露

你目前找到的appsettings.json+IConfiguration依赖注入的读取思路本身是.NET的标准实现，唯一的问题是直接将密钥写入通用appsettings.json文件会随代码提交到GitHub造成泄露，针对你提出的三个核心问题，可按如下方式实现，使用体验和JS生态的.env方案完全一致，同时满足密钥隐藏、多人协作的需求：

1. API密钥存储位置 #

• 开发环境：密钥存放在开发环境专属本地配置文件或系统环境变量中，这类文件不纳入Git版本管理，不会被提交到公开仓库
• 生产环境：密钥存放在部署服务器的环境变量、云平台密钥管理服务或专属配置中心，禁止硬编码在代码或随代码包发布
• 协作适配：仓库中只提交不带真实密钥的配置模板，协作者拉取代码后在本地对应位置填入自有密钥即可运行；如果需要给授课老师提供你的密钥，单独发送本地配置文件即可，不需要修改公开仓库内容

核心前提：必须将存放真实密钥的本地文件加入项目根目录的.gitignore列表，从根源避免误提交。

2. API密钥存储方式 #

推荐使用和.env逻辑完全一致的.NET原生环境分层配置方案，不需要引入第三方包：

• 在项目根目录新建appsettings.Development.json文件，这是.NET默认识别的开发环境专属配置文件，将你的真实密钥写入该文件：

{
  "API_KEY": "你的专属RapidAPI密钥"
}

• 打开项目根目录的.gitignore文件，新增一行appsettings.Development.json，确保Git不会跟踪、提交这个存放真实密钥的文件
• 在仓库中提交一个appsettings.Development.json.template模板文件，仅保留配置结构、不填真实值，协作者拉取代码后只需将模板复制一份重命名为appsettings.Development.json，填入自己的密钥即可正常运行：

{
  "API_KEY": "请在此处填入你自己的RapidAPI密钥"
}

如果你更习惯.env文件的形式，也可以直接在项目根目录新建.env文件存储密钥，同样将.env加入.gitignore列表即可，.NET 5的配置系统默认支持读取环境变量中的配置项，不需要额外适配。

3. 代码中读取密钥的实现方式 #

你之前写的IConfiguration依赖注入写法完全可用，.NET的配置系统会自动按优先级合并所有配置源的内容（优先级顺序：命令行参数 > 环境变量 > 当前环境专属appsettings文件 > 通用appsettings文件），不需要手动编写文件读取逻辑：

• 控制器中的依赖注入代码不需要修改：

// 定义配置服务只读字段
private readonly IConfiguration _configuration;

// 构造函数完成依赖注入
public CurrencyCalculatorAPI(IConfiguration configuration)
{
    _configuration = configuration;
}

• 读取密钥时可以直接使用索引器读取，写法比你之前用的GetValue方法更简洁：

// 直接通过配置键读取对应密钥值
var apiKey = _configuration["API_KEY"];

规范提示：如果项目中配置项较多，不建议到处直接注入IConfiguration读取，可以定义一个ApiSettings强类型类，用.NET原生的IOptions模式注入配置，后续配置结构调整时不需要修改零散的读取逻辑。

内容的提问来源于stack exchange，提问作者L_Karapetti