如何将开发中本地ASP.NET 4.6.2网站连接至远程Azure SQL Server数据库？

你的顾虑非常合理——直接在本地配置带登录凭据的连接字符串，确实存在TCP传输中暴露明文的风险，而aspnet_regiis的加密机制也确实仅适用于本地机器，无法直接满足远程连接场景的安全需求。下面是几个适合你的解决方案：

方案1：用Azure Key Vault存储并读取连接字符串 #

这是最安全的方案之一，把敏感的连接字符串托管在Azure Key Vault中，本地和部署环境都通过权限控制来读取：

• 第一步：在Azure Key Vault中创建一个「秘密」，将完整的Azure数据库连接字符串存入其中
• 第二步：为你的本地开发账号和目标Azure App Service（如果后续部署）分配访问该Key Vault的权限
• 第三步：在ASP.NET 4.6.2项目中，通过Key Vault SDK读取秘密作为连接字符串
  示例代码：

  using Microsoft.Azure.KeyVault;
  using Microsoft.IdentityModel.Clients.ActiveDirectory;
  using System.Threading.Tasks;
  
  public static async Task<string> FetchDbConnectionString()
  {
      var vaultClient = new KeyVaultClient(new KeyVaultClient.AuthenticationCallback(GetAuthToken));
      var secret = await vaultClient.GetSecretAsync("https://your-vault-name.vault.azure.net/secrets/your-db-connection-secret");
      return secret.Value;
  }
  
  private static async Task<string> GetAuthToken(string authority, string resource, string scope)
  {
      var authContext = new AuthenticationContext(authority);
      // 本地开发可通过Azure CLI登录获取权限，无需硬编码客户端凭据
      var clientCred = new ClientCredential("your-service-principal-client-id", "your-service-principal-secret");
      var authResult = await authContext.AcquireTokenAsync(resource, clientCred);
      return authResult.AccessToken;
  }
  

• 额外提示：本地开发时，可以通过az login命令登录Azure CLI，让应用自动获取访问Key Vault的权限，不用在代码里硬编码敏感凭据。

方案2：使用Azure AD身份验证替代SQL凭据 #

直接放弃在连接字符串里存储SQL用户名和密码，改用Azure AD身份验证，从根源上避免凭据暴露：

• 本地开发时，可使用Azure AD集成身份验证，连接字符串示例：

  Server=tcp:your-db-server.database.windows.net,1433;Initial Catalog=your-db-name;Authentication=Active Directory Integrated;Encrypt=True;TrustServerCertificate=False;Connection Timeout=30;
  

• 如果需要用账号密码登录，连接字符串示例：

  Server=tcp:your-db-server.database.windows.net,1433;Initial Catalog=your-db-name;Authentication=Active Directory Password;User ID=your-aad-account@your-domain.com;Password=your-aad-password;Encrypt=True;TrustServerCertificate=False;Connection Timeout=30;
  

• 优势：Azure数据库默认强制加密连接，且不用管理独立的SQL凭据，本地开发用自己的AD账号即可，配置文件里不会出现敏感密码。

方案3：本地开发使用User Secrets存储敏感配置 #

ASP.NET 4.6.2支持通过User Secrets来存储本地敏感配置，这个文件不会被提交到版本控制，避免敏感信息泄露：

• 第一步：右键项目 → 「管理用户机密」，打开本地的secrets.json文件
• 第二步：在该文件中存入你的数据库连接字符串：

  {
    "ConnectionStrings": {
      "AzureDbConnection": "your-full-azure-db-connection-string"
    }
  }
  

• 第三步：通过NuGet安装Microsoft.Configuration.ConfigurationBuilders.UserSecrets包，然后在web.config中配置读取用户机密：

  <configBuilders>
    <builders>
      <add name="Secrets" type="Microsoft.Configuration.ConfigurationBuilders.UserSecretsConfigBuilder, Microsoft.Configuration.ConfigurationBuilders.UserSecrets" />
    </builders>
  </configBuilders>
  <connectionStrings configBuilders="Secrets">
    <add name="AzureDbConnection" connectionString="" providerName="System.Data.SqlClient" />
  </connectionStrings>
  

• 说明：这样本地web.config里的连接字符串是空占位符，实际读取的是User Secrets中的内容，不会提交到代码仓库，也不用aspnet_regiis加密。

关键补充：确保连接加密 #

无论采用哪种方案，都要确保连接字符串中包含Encrypt=True——Azure数据库默认要求启用加密，这样TCP传输的所有数据都会被加密，从传输层面杜绝明文泄露的风险。

内容的提问来源于stack exchange，提问作者CrispinH