language-agnostic - 如何避免在源代码中以明文形式存储数据库密码？

Question

在我正在开发的 Web 应用程序中，我目前在连接到数据库时使用了一个简单的解决方案:

Connection c = DriverManager.getConnection("url", "username", "password");

这是相当不安全的。如果攻击者获得对源代码的访问权限，他也可以访问数据库本身。我的 Web 应用程序如何连接到数据库而不在源代码中以明文形式存储数据库密码？

Answer 1

您可以将连接字符串存储在 Web.config 或 App.config 文件中并加密保存它的部分。这里有一篇很不错的文章，我在之前的一个项目中用来加密连接字符串:

http://www.ondotnet.com/pub/a/dotnet/2005/02/15/encryptingconnstring.html