azure - 网站的 web.config 加密

Question

我已经找到了有关如何使用自定义提供程序和 Web 角色证书加密 web.config 的信息，以保护连接字符串和其他设置的安全。

这也适用于网站吗？如果不是，我如何保护网站的连接字符串？我知道我可以管理 azure 门户中的连接字符串，但这些也以明文形式存储。因此，如果有人访问 web.config 或 azure 管理，他将能够读取所有数据。

另请参阅:

http://www.heikniemi.net/hardcoded/2013/06/encrypting-connection-strings-in-windows-azure-web-applications/comment-page-1/#comment-173488

http://blogs.msdn.com/b/sqlazure/archive/2010/09/10/10060395.aspx

Answer 1

将键值字符串对(连接字符串和其他 secret )存储在与网站关联的 Azure 配置信息中。这些敏感信息永远不会在 web.config 中以明文形式显示

http://azure.microsoft.com/blog/2013/07/17/windows-azure-web-sites-how-application-strings-and-connection-strings-work/

这应该足够安全 - 如果 azure 管理员凭据被泄露，您会丢失所有内容，而不仅仅是连接字符串 - 攻击者可以简单地使用网站远程调试来获取逐步执行程序的任何信息，即使您有加密方法/解密连接字符串。

-西蒙。