SSIS集成项目多配置连接字符串未加密问题咨询

问题根因 #

SSIS的项目保护级别EncryptSensitiveWithUserKey仅会加密.dtsx包文件、Project.params参数文件中标记为敏感的属性。你通过VS配置管理器存储的多环境参数覆盖值，是直接写入.dtproj项目文件的，该文件不属于SSIS加密逻辑的管控范围，天然以明文存储，这不是保护级别设置错误，是敏感值的存储位置选择有误。

安全存储多环境连接字符串的可行方案 #

方案1：拆分敏感参数+表达式拼接 #

这是本地开发和服务器部署兼容性最好的方案：

• 在Project.params中拆分参数：新建非敏感参数ConnectionString_Base存储不带密码的连接串前缀（比如Data Source=xxx;Initial Catalog=xxx;User ID=xxx），新建敏感参数DB_Password，勾选参数的*Sensitive（敏感）*属性
• 不同环境的配置仅存储ConnectionString_Base的值，不要在项目配置中添加DB_Password的覆盖值
• 给OLE DB连接管理器的ConnectionString属性配置表达式：@[$Project::ConnectionString_Base] + ";Password=" + @[$Project::DB_Password]
  该方案下敏感密码仅存储在Project.params中，会被EncryptSensitiveWithUserKey加密，.dtproj中仅存储非敏感的连接串前缀，可安全提交到代码仓库。部署到SSIS Catalog时，直接用对应环境的敏感变量覆盖密码参数即可。

方案2：多环境值存储到用户配置文件 #

VS的SSIS项目配置支持将参数值存储在项目级（.dtproj，会提交到仓库）或用户级（.dtproj.user，默认被版本控制忽略）：

• 在配置参数值时，将所有包含敏感信息的参数的存储位置设置为「用户配置文件」
• 仅将非敏感参数的配置值存储到项目级配置中
  该方案下所有敏感值只会保存在本地的.dtproj.user文件中，不会进入代码仓库，不同开发人员可以在本地自行配置各自环境的敏感参数值。

方案3：全链路使用环境变量 #

完全不在项目文件中存储任何敏感值：

• 本地开发时，在系统/用户环境变量中配置不同环境的完整连接字符串，标记为敏感的项目参数设置为从对应环境变量读取值
• 部署到SSIS Catalog后，创建Dev、Azure两套环境，在环境变量中配置对应连接字符串，包执行时绑定对应环境即可
  该方案下项目文件中仅存储参数定义，没有任何实际敏感值，完全规避代码仓库的敏感信息泄露风险。

内容的提问来源于stack exchange，提问作者pkExec