.NET Core未显式使用Data Protection时能否移除相关配置

不建议直接移除你当前的AddDataProtection自定义配置，大部分常规ASP.NET Core应用都存在对数据保护服务的隐式依赖，直接移除大概率会导致功能异常。

• 内置组件的隐式依赖
  你搜索不到IDataProtectionProvider的显式引用是完全正常的，ASP.NET Core 3.1 有大量核心内置组件会在框架内部调用数据保护能力，不需要业务代码显式引用，包括但不限于：
  • 防伪令牌（AntiForgery）的生成与验证
  • TempData的加密存储（默认基于Cookie实现）
  • Cookie身份认证的票据加密
  • Session Cookie的加密保护
  • OpenID Connect、OAuth 相关流程中的state、nonce参数加密
    这些组件只要你没有主动关闭，都会依赖数据保护服务运行。
• 移除自定义配置的影响
  哪怕你不手动调用AddDataProtection，ASP.NET Core也会默认注册数据保护服务的默认实现，但你当前的配置做了两个关键自定义：
  1. 显式指定了应用名称 SetApplicationName("MyApplication")
  2. 把加密密钥持久化到了指定的AppData/Keys目录
     如果你移除这段配置，会自动切到默认规则：密钥默认存储到当前系统用户目录的%LOCALAPPDATA%\ASP.NET\DataProtection-Keys路径下，如果应用运行在无用户目录的环境（比如低权限IIS站点、Docker容器），密钥会直接存在内存中，应用重启后密钥就会丢失，会导致所有之前加密的内容（登录Cookie、防伪令牌、TempData等）全部失效，出现用户异常掉线、表单提交报错400、临时数据读取失败等问题；如果是多实例部署的场景，默认本地存储的密钥不互通，还会出现跨实例请求验证失败的问题。
• 可安全移除的前提
  只有当你100%确认已经主动关闭了所有依赖数据保护的内置组件，且业务代码完全没有使用加密保护的需求时，移除该配置才不会产生影响，这个场景仅存在于极少数纯接口、无状态、无身份验证的特殊Web应用中。

内容的提问来源于stack exchange，提问作者Aleks Vujic