ASP.NET Core MVC中API密钥安全传递最佳实践及实现方案咨询

你完全可以用和读取API基地址类似的方式处理API密钥，避免硬编码，以下是具体实现步骤：

步骤1：新增密钥配置 #

首先在appsettings.json中添加API密钥配置项：

{
  "Logging": {
    "LogLevel": {
      "Default": "Information",
      "Microsoft": "Warning",
      "Microsoft.Hosting.Lifetime": "Information"
    }
  },
  "AllowedHosts": "*",
  "openWeatherAPI": "https://api.openweathermap.org/",
  // 新增API密钥配置
  "openWeatherAPIKey": "你的OpenWeather平台API密钥"
}

注意：不要将包含真实密钥的appsettings.json提交到代码仓库，开发阶段推荐使用「用户机密」功能存储敏感信息：右键你的项目 -> 选择「管理用户机密」，把密钥配置放在弹出的secrets.json文件中，ASP.NET Core会自动合并配置，优先级高于appsettings。生产环境建议使用环境变量、云密钥管理服务存储敏感配置，避免明文暴露。

步骤2：修改Startup配置读取密钥并注入 #

修改Startup.cs中的ConfigureServices方法，读取密钥并注入到仓储实现中：

public void ConfigureServices(IServiceCollection services)
{
    string uri = Configuration.GetValue<string>("openWeatherAPI");
    // 读取API密钥，会自动从用户机密、环境变量、appsettings中按优先级读取
    string apiKey = Configuration.GetValue<string>("openWeatherAPIKey");

    services.AddControllersWithViews();

    services.AddHttpClient<IForecastRepository, ForecastRepository>(c =>  
    {
        c.BaseAddress = new Uri(uri);
    })
    // 注入API密钥到仓储
    .AddTypedClient<IForecastRepository, ForecastRepository>((client, sp) => 
    {
        return new ForecastRepository(client, apiKey);
    });
}

步骤3：修改仓储代码接收注入的密钥 #

调整ForecastRepository的构造函数，接收注入的密钥，替换硬编码部分：

public interface IForecastRepository
{
    Task<CityModel> GetWeatherAsync(string cityName);
}

public class ForecastRepository : IForecastRepository
{     
    private readonly HttpClient _httpClient;
    // 新增字段存储注入的密钥
    private readonly string _apiKey;

    // 构造函数新增密钥参数
    public ForecastRepository(HttpClient httpClient, string apiKey)
    {
        _httpClient = httpClient;
        _apiKey = apiKey;
    }

    public async Task<CityModel> GetWeatherAsync(string cityName)
    {
        // 替换硬编码的密钥
        var queryString = $"data/2.5/weather?q={cityName}&units=imperial&APPID={_apiKey}";
        var response = await _httpClient.GetStringAsync(queryString);
        // 后续业务逻辑省略
    }
}

小提示：如果你的第三方API配置项较多，推荐使用「选项模式」：定义一个OpenWeatherOptions配置类，包含BaseAddress、ApiKey等属性，通过services.Configure<OpenWeatherOptions>(Configuration.GetSection("OpenWeather"))绑定配置，再通过IOptions<OpenWeatherOptions>注入到需要的地方，代码可维护性更高。

内容的提问来源于stack exchange，提问作者Adam Cushing