asp.net - 加密自定义配置设置

Question

我在加密配置部分时遇到一些问题。我们使用来自外部供应商的包，并且 web.config 的结构如下:

web.config

<appSettings file="customSettings.config">
  <add key="generic_setting" value="true"/>
  <add key="another_generic_setting" value="false"/>
</appSettings>

customSettings.config

<appSettings>
  <add key="company_db_username" value="sa"/>
  <add key="company_db_password" value="secret"/>
</appSettings>

我们使用 WiX 创建安装包 (msi)，以便我们可以在我们的组织中部署它。我们执行的一项自定义操作是对 appSettings 部分进行加密。不幸的是，在上面描述的情况下，它只加密了 web.config 文件中的部分，而 customSettings.config 保持不变。

我确实注意到 configSource 属性在加密方面比文件属性更好一些，但它不支持合并两个文件中的元素。现在，在加密自定义操作中的所有内容之前，我可以以编程方式将 customSettings.config 的元素合并到 web.config 中，但我想知道是否有更干净的解决方案。

Answer 1

根据您的示例，您要加密的信息是数据库用户名和密码，一种替代方法是首次使用 Windows 身份验证连接到您的数据库。初始用户的权利非常有限。

使用该连接获取更高权限帐户的凭据/连接字符串，您之前已使用项目级数据库加密存储该凭据/连接字符串(请参阅OPEN SYMMETRIC KEY 和 ENCRYPTBYKEY)。