EF Core操作SQL Server Always Encrypted列decimal类型报错求助

API 探路者

2026-5-19

排查Always Encrypted + EF增改报错的常见遗漏点

嘿，我来帮你梳理下这个问题——你已经搞定了SQL Server的Always Encrypted配置和EF适配环境，还在OnModelCreating里指定了decimal格式，但增改数据还是报错，大概率是下面这些容易被忽略的细节：

确认EF Core版本兼容性
Always Encrypted对EF版本有明确要求，EF Core 3.1及以上才对decimal类型的加密支持比较完善，老版本（比如2.x）可能存在类型映射的bug。你可以检查项目中Microsoft.EntityFrameworkCore.SqlServer NuGet包的版本，尽量升级到5.0+的稳定版本试试。
连接字符串必须加加密开关
这是最容易忘的！连接字符串里必须包含Column Encryption Setting=Enabled参数，否则EF客户端根本不会触发加密处理逻辑，直接和未加密列的处理逻辑冲突。示例连接字符串：
```
Server=yourServer;Database=yourDb;Trusted_Connection=True;Column Encryption Setting=Enabled;
```
Decimal精度/位数必须完全匹配
虽然你在OnModelCreating里配置了decimal格式，但要确保EF里的精度和SQL Server加密列的定义完全一致。比如SQL里是decimal(19,4)的加密列，EF里必须写：
```
modelBuilder.Entity<YourEntity>()
    .Property(e => e.YourDecimalProp)
    .HasPrecision(19, 4);
```
哪怕差一位精度，都会触发加密时的类型转换错误。
密钥存储的访问权限要到位
Always Encrypted依赖列主密钥（CMK）和列加密密钥（CEK），运行EF应用的账号必须有访问密钥存储的权限：
- 如果用Azure Key Vault，要确保账号有Key Vault Crypto User权限；
- 如果用本地证书，要确保应用账号能读取证书存储里的对应证书。
  权限不足的话，EF无法获取密钥进行加解密，会抛出权限相关的异常。
实体属性类型必须严格匹配
检查你的实体类，对应加密列的属性必须是decimal类型，不能是double、float或者其他数值类型——哪怕EF配置了精度，底层类型不匹配也会导致加密失败。
批量操作的变更跟踪问题
如果是用AddRange或UpdateRange做批量操作，EF的变更跟踪可能没有正确处理加密列。建议先测试单个实体的增改是否正常，排除批量操作带来的问题；如果单个正常，再检查批量操作中每个实体的加密属性是否都被正确赋值，没有null或非法值。

如果能提供具体的错误信息，我可以帮你更精准地定位问题，但先把上面这些点逐一排查，应该能解决大部分常见的遗漏问题。

内容的提问来源于stack exchange，提问作者3axap