asp.net - 在 web.config 中硬编码密码是否安全？

Question

像这样在 asp.net 项目的 web.config 中写入密码有多安全:

<mailSettings>
    <smtp from="example@web.com">
       <network host="smtp.web.com"
        port="123"
        userName="username@web.com"
        password="12345"
        enableSsl="true"/>
     </smtp>
</mailSettings>

我对互联网安全不太熟悉，所以如果这不安全，还有其他选择吗？

Answer 1

查看加密 web.config 部分。

https://msdn.microsoft.com/en-us/library/bb986855.aspx

https://stackoverflow.com/a/6224769/461822

就像是
"aspnet_regiis.exe -pef "system.net/mailSettings/smtp" "C:\inetpub\wwwroot\website" -prov RSAProtectedConfigurationProvider"
想想<machineKey>部署到网络场时的值(value)。

如果您正在设置 <machineKey>在您的 web.config 中，您基本上是在提供解密 key 。

因此，就像大卫在上面的评论中所说的那样，如果您愿意与可以访问您的代码的人共享 secret ，那很好。

如果没有，请创建一个测试 smtp 环境，您不介意共享凭据并将这些凭据放在 web.config 中。

或者查看类似 Papercut 的工具用于本地测试并在部署之前/之后更改 web.config 中的值。