如何为SSIS自定义连接管理器添加安全字符串属性？

针对你遇到的问题，以下是基于.NET Framework 4.8和SQL Server 2022的具体实现方案：

核心实现步骤 #

1. 定义标记为安全的SecureString属性 #

自定义连接管理器需继承ConnectionManagerBase，并通过DtsPropertyAttribute将SecretKey标记为安全属性，类型使用SecureString：

using Microsoft.SqlServer.Dts.Runtime;
using System.Security;

public class CustomSecureConnManager : ConnectionManagerBase
{
    private SecureString _secretKey;

    [DtsProperty(
        DisplayName = "Secret Key",
        Description = "安全认证密钥",
        Secure = true, // 关键：标记为安全属性
        Category = "Security"
    )]
    public SecureString SecretKey
    {
        get => _secretKey?.Copy(); // 返回副本避免外部修改内部实例
        set
        {
            _secretKey?.Dispose();
            _secretKey = value?.Copy(); // 存储副本确保安全
        }
    }

    // 重写必要的基类方法
    public override string ConnectionString
    {
        get => string.Empty; // 安全属性不放入常规连接字符串
        set { }
    }

    public override object AcquireConnection(object txn)
    {
        // 仅在必要时转换为明文，用完立即清理内存
        IntPtr ptr = IntPtr.Zero;
        try
        {
            ptr = System.Runtime.InteropServices.Marshal.SecureStringToBSTR(_secretKey);
            string plainKey = System.Runtime.InteropServices.Marshal.PtrToStringBSTR(ptr);
            // 用明文密钥初始化你的连接对象
            return new YourCustomConnection(plainKey);
        }
        finally
        {
            if (ptr != IntPtr.Zero)
                System.Runtime.InteropServices.Marshal.ZeroFreeBSTR(ptr);
        }
    }

    public override void ReleaseConnection(object connection)
    {
        if (connection is IDisposable disposable)
            disposable.Dispose();
    }
}

2. 处理XML序列化与反序列化 #

SSIS通过XML持久化连接属性，需重写LoadFromXML和SaveToXML方法，正确处理安全字符串的存储：

public override void LoadFromXML(System.Xml.XmlElement node, IDTSInfoEvents infoEvents)
{
    base.LoadFromXML(node, infoEvents);

    DtsProperty secretKeyProp = Properties["SecretKey"];
    if (secretKeyProp != null)
    {
        var keyNode = node.SelectSingleNode(".//DTS:Property[@Name='SecretKey']", NamespaceManager);
        if (keyNode != null)
        {
            string secureXml = keyNode.InnerText;
            secretKeyProp.SetSecureValue(this, SecureStringHelper.FromXml(secureXml));
        }
    }
}

public override void SaveToXML(System.Xml.XmlDocument doc, IDTSInfoEvents infoEvents)
{
    base.SaveToXML(doc, infoEvents);

    DtsProperty secretKeyProp = Properties["SecretKey"];
    if (secretKeyProp != null && _secretKey != null)
    {
        XmlElement propNode = doc.CreateElement("Property", "www.microsoft.com/SqlServer/Dts");
        propNode.SetAttribute("Name", "SecretKey");
        propNode.InnerText = SecureStringHelper.ToXml(_secretKey);
        
        var connNode = doc.DocumentElement.SelectSingleNode(".//DTS:ConnectionManager", NamespaceManager) as XmlElement;
        connNode.AppendChild(propNode);
    }
}

// 辅助类：SecureString与XML字符串的转换
internal static class SecureStringHelper
{
    public static SecureString FromXml(string xmlString)
    {
        byte[] data = Convert.FromBase64String(xmlString);
        var secureStr = new SecureString();
        foreach (byte b in data)
        {
            secureStr.AppendChar((char)b);
        }
        secureStr.MakeReadOnly();
        return secureStr;
    }

    public static string ToXml(SecureString secureString)
    {
        IntPtr ptr = IntPtr.Zero;
        try
        {
            ptr = System.Runtime.InteropServices.Marshal.SecureStringToBSTR(secureString);
            char[] chars = System.Runtime.InteropServices.Marshal.PtrToStringBSTR(ptr).ToCharArray();
            byte[] data = chars.Select(c => (byte)c).ToArray();
            return Convert.ToBase64String(data);
        }
        finally
        {
            if (ptr != IntPtr.Zero)
                System.Runtime.InteropServices.Marshal.ZeroFreeBSTR(ptr);
        }
    }
}

3. 设计时UI处理（可选） #

如果有自定义连接管理器UI，使用密码框输入并转换为SecureString：

// UI类中的示例代码
private void txtSecretKey_TextChanged(object sender, EventArgs e)
{
    var secureStr = new SecureString();
    foreach (char c in txtSecretKey.Text)
    {
        secureStr.AppendChar(c);
    }
    secureStr.MakeReadOnly();
    _connManager.SecretKey = secureStr;
}

public void Initialize(Connections connections, ConnectionManager connectionManager)
{
    _connManager = connectionManager as CustomSecureConnManager;
    if (_connManager?.SecretKey != null)
    {
        // 仅显示掩码，不展示明文
        txtSecretKey.Text = new string('*', _connManager.SecretKey.Length);
    }
}

关键注意事项 #

• 禁止在日志、调试输出中暴露SecureString明文内容。
• 转换为明文后立即使用并清理内存，避免敏感数据残留。
• 部署后，SSIS会识别该属性为安全类型，允许绑定到安全参数或环境变量的安全值。

内容的提问来源于stack exchange，提问作者MrCraze