部署至IIS时Column Encryption Setting异常加密非加密参数问题

• 项目为基于C#开发的WebAPI，核心逻辑是调用各类存储过程完成数据写入、返回加密列数据，本地开发环境运行完全正常。
• 项目部署到IIS后出现异常：传入参数会被SQL自动加密，本地代码、配置和部署版本完全一致无变更。
• 触发异常时传入的参数是int类型主键ID字段，本身不属于加密列。
• 无参数的同类接口调用表现正常：加密列可正常返回未加密的明文数据。
• 若从连接字符串中移除Column Encryption Setting=enabled配置，参数不会被自动加密，接口可正常返回，但加密列数据会以密文形式返回，不符合业务要求。
• 当前web.config中配置的连接字符串如下：

Data Source=MyServer;Initial Catalog=MyDB;User Id=ServiceUser;Password=MyPassword;MultipleActiveResultSets=true;Column Encryption Setting=enabled;

• 所有数据库参数均通过SqlParameter方式添加，无法定位问题是代码遗漏配置还是SQL端配置错误。

这是IIS部署环境下SQL Server Always Encrypted功能的典型异常，和业务代码逻辑无关：IIS运行环境的驱动、权限配置和本地开发环境不一致，导致SqlClient驱动无法正确识别传入参数对应的目标列是否为加密列，错误地对所有传入参数执行了加密处理，哪怕参数对应的是int类型的非加密主键。

按以下顺序排查处理即可：

• 先给IIS服务器安装和本地开发环境版本一致的SQL Server驱动：本地开发环境会随Visual Studio自动安装Microsoft ODBC Driver、Microsoft.Data.SqlClient相关依赖，但Windows Server默认不带这些组件，驱动版本不对、组件缺失都会导致加密逻辑判断出错，优先安装ODBC Driver 17 for SQL Server对齐本地环境。
• 调整IIS应用程序池运行账户：不要使用默认的ApplicationPoolIdentity，替换为专门的服务运行账户。如果列加密主密钥存储在Windows证书存储中，要给该服务账户授予对应证书私钥的读取权限；如果主密钥存储在其他密钥存储服务中，也要给该账户开放密钥读取、解包权限。
• 调整代码中的参数传参逻辑：不要使用SqlParameter.AddWithValue方式传参，给所有参数显式指定SqlDbType，不要让驱动自动推断参数元数据，示例写法：

var idParam = new SqlParameter("@PKID", SqlDbType.Int)
{
    Value = targetId,
    Direction = ParameterDirection.Input
};
cmd.Parameters.Add(idParam);

自动推断元数据的逻辑在驱动状态异常时，很容易把非加密列的参数错误标记为需要加密。

• 快速验证方式：在IIS服务器上，用和应用池完全相同的运行账户登录，打开SSMS连接数据库时勾选「启用列加密设置」，执行带int主键参数的存储过程，如果SSMS中执行也报参数加密相关错误，即可完全排除代码问题，直接排查服务器驱动、密钥权限即可。
• 不要直接删除连接字符串里的Column Encryption Setting=enabled配置，该操作虽然能绕开参数加密错误，但加密列会直接返回密文，属于功能不可用，不是正确的修复方式。

内容的提问来源于stack exchange，提问作者Brad Knight