asp.net - 加密 web.config 连接字符串 - 它是否使用站点的机器 key ？我是否也加密机器 key ？

Question

看这里:https://msdn.microsoft.com/en-us/library/dtkwfdky.aspx

它们对 web.config 中的 machineKey 以及 ConnectionStrings 进行加密。

这是因为，当每个站点使用自定义machineKey时，它将使用机器 key 来加密连接字符串？

或者机器 key 只是用于 View 状态加密？因此，对其进行加密以帮助保护应用程序是否明智？

Answer 1

MachineKey 仅用于加密/解密/验证 ASP.NET cookie 和防伪 token ，它主要处理与用户数据相关的安全性。 MachineKey 与解密配置值无关。 ASP.NET 不会使用 MachineKey 来解密连接字符串。

事实上 MachineKey 与连接字符串一样敏感，因为在获得它之后，某人可以轻松创建一个经过身份验证的 cookie，这将允许他们登录任何用户。这就是为什么它应该被加密。

您必须自行加密MachineKey。