如何在ASP.NET Web Form中发送邮件且不在代码中暴露密码

核心思路是将敏感的SMTP凭证信息从业务代码中抽离，存入配置文件后可对敏感配置节加密，完全避免密码出现在业务代码中，具体实现步骤如下： #

步骤1：在Web.config中配置SMTP参数 #

所有SMTP相关配置统一存放在Web.config的system.net/mailSettings节点下，无需写在后台逻辑中，示例配置如下：

<configuration>
  <!-- 其他现有配置 -->
  <system.net>
    <mailSettings>
      <smtp from="你的发件人邮箱地址">
        <!-- 替换为你邮箱服务商对应的SMTP参数 -->
        <network 
          host="smtp.xxx.com" 
          port="587" 
          userName="你的邮箱账号" 
          password="你的邮箱密码" 
          enableSsl="true" 
        />
      </smtp>
    </mailSettings>
  </system.net>
  <!-- 其他现有配置 -->
</configuration>

说明：不同邮箱服务商的SMTP参数不同，比如QQ邮箱是smtp.qq.com端口587，Gmail是smtp.gmail.com端口587，根据你使用的邮箱调整即可。 #

步骤2：调整后台发送代码 #

SmtpClient初始化时会自动读取Web.config中的SMTP配置，不需要额外手动赋值凭证。另外你当前代码中用控件ID.ToString()获取输入框内容的写法是错误的，应该取Text属性，修正后的代码如下：

protected void btnSend_Click(object sender, System.EventArgs e)
{
    // SmtpClient会自动读取Web.config的SMTP配置，不需要手动传入密码
    SmtpClient client = new SmtpClient();
    // 修正：获取输入框内容要取Text属性，不是ToString()
    MailAddress from = new MailAddress(txtEmail.Text.Trim(),
        txtName.Text + (char)0xD8,
        System.Text.Encoding.UTF8);
    MailAddress to = new MailAddress("nyamathulani@gmail.com");
    MailMessage message = new MailMessage(from, to);
    message.Body = txtMsg.Text;
    string someArrows = new string(new char[] { '\u2190', '\u2191', '\u2192', '\u2193' });
    message.Body += Environment.NewLine + someArrows;
    message.BodyEncoding = System.Text.Encoding.UTF8;
    message.Subject = txtSubject.Text + someArrows;
    message.SubjectEncoding = System.Text.Encoding.UTF8;
    client.SendCompleted += new SendCompletedEventHandler(SendCompletedCallback);
    string userState = "Thulani awaits your message";
    client.SendAsync(message, userState);
    btnSend.Text = "Sending...";

    message.Dispose();
}

步骤3：加密SMTP配置节（可选但强烈推荐） #

为了避免Web.config中明文存储密码泄露，可以用ASP.NET自带的工具加密system.net/mailSettings/smtp配置节，加密后配置内容为密文，ASP.NET运行时会自动解密，无需修改业务代码。
加密操作步骤：

• 以管理员身份打开命令提示符，进入.NET Framework对应版本的目录（通常是C:\Windows\Microsoft.NET\Framework\v4.0.30319，根据你项目的.NET版本调整）
• 执行加密命令：

aspnet_regiis -pe "system.net/mailSettings/smtp" -app "/你的网站在IIS中的应用名"

如果是本地调试用的文件系统网站，可以用-vd参数指定虚拟路径，加密后即使其他人拿到Web.config文件也无法读取密码明文。

内容的提问来源于stack exchange，提问作者Thulani Nyama