使用RSACryptoServiceProvider遇CryptographicException，求无人工干预解决方案

这种在极少数客户端机器上出现的MachineKeys目录权限问题确实棘手，千余台里才两台，但要避免人工介入修复，试试下面几个实用方案：

1. 改用用户级密钥容器替代机器级容器 #

默认情况下，RSACryptoServiceProvider会使用机器级的MachineKeys目录，这个目录的权限配置偶尔会出现异常（哪怕是管理员也无法写入）。你可以指定使用用户级密钥容器，让密钥存储在当前用户的加密目录下，这里的权限通常不会有问题：

var cspParams = new CspParameters
{
    KeyContainerName = "YourAppUniqueContainerName",
    // 指定使用用户级密钥容器，而非机器级
    Flags = CspProviderFlags.UserKeySet
};

using (var rsa = new RSACryptoServiceProvider(2048, cspParams))
{
    // 你的加密/解密逻辑
}

这个方案不需要修改任何系统权限，密钥会存在用户的%APPDATA%\Microsoft\Crypto\RSA目录下，每个用户独立存储，权限完全可控。

2. 自动修复MachineKeys目录的权限 #

如果必须使用机器级密钥容器，可以在应用启动时自动检查并修复C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys目录的权限：

var machineKeysDir = @"C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys";
var dirInfo = new DirectoryInfo(machineKeysDir);
var dirSecurity = dirInfo.GetAccessControl();

// 添加当前用户的写入权限（如果不存在）
var currentUser = WindowsIdentity.GetCurrent().Name;
var accessRule = new FileSystemAccessRule(
    currentUser,
    FileSystemRights.Write | FileSystemRights.Modify,
    InheritanceFlags.ContainerInherit | InheritanceFlags.ObjectInherit,
    PropagationFlags.None,
    AccessControlType.Allow);

dirSecurity.AddAccessRule(accessRule);
dirInfo.SetAccessControl(dirSecurity);

注意：这段代码需要管理员权限执行，你可以在应用启动时先检查权限，或者用runas方式启动权限修复逻辑，执行完再回到普通权限运行主程序。

3. 升级到更现代的RSACng API #

RSACryptoServiceProvider是比较旧的API，微软现在推荐使用RSACng（属于System.Security.Cryptography命名空间），它的权限处理更稳定，也避免了旧API的一些兼容性问题：

using (var rsa = new RSACng(2048))
{
    // 你的加密/解密逻辑
    // 如需持久化密钥，可以使用rsa.KeyStorageFlags指定存储位置
}

如果你的应用可以兼容.NET Framework 4.6+或者.NET Core/.NET 5+，这个方案是最省心的，不仅能解决权限问题，还能获得更好的性能和安全性。

内容的提问来源于stack exchange，提问作者Carl Quirion