C# 加密 App.config 連接字符串實戰指南

背景與必要性

應用程序配置文件（App.config/Web.config）中的 connectionStrings 節點包含數據庫訪問敏感信息（服務器地址、賬號、密碼）。以明文存儲存在極大安全風險，生產環境務必加密保護。

.NET 內置加密方案：DPAPI / RSA

.NET Framework 提供 ConfigurationSection.SectionInformation.ProtectSection 方法，基於機器級或用戶級 DPAPI（Data Protection API）實現配置節點加密，無需管理金鑰，部署簡便。

核心加密/解密代碼實現

using System.Configuration;

public static class ConnectionStringEncryptor
{
    /// 

    /// 加密或解密 connectionStrings 節點
    /// 
    /// true=加密，false=解密
    /// 加密提供者，默認 DataProtectionConfigurationProvider (DPAPI 機器級)
    /// 可選：指定配置文件路徑，默認當前執行程序配置
    public static void ToggleEncryption(bool encrypt, string provider = "DataProtectionConfigurationProvider", string exeConfigPath = null)
    {
        Configuration config;
        if (string.IsNullOrEmpty(exeConfigPath))
            config = ConfigurationManager.OpenExeConfiguration(ConfigurationUserLevel.None);
        else
            config = ConfigurationManager.OpenExeConfiguration(exeConfigPath);

        var section = config.GetSection("connectionStrings") as ConnectionStringsSection;
        if (section == null)
            throw new InvalidOperationException("未找到 connectionStrings 節點");

        // 檢查節點是否被鎖定
        if (section.ElementInformation.IsLocked || section.SectionInformation.IsLocked)
            throw new InvalidOperationException("connectionStrings 節點被鎖定，無法修改保護狀態");

        try
        {
            if (encrypt && !section.SectionInformation.IsProtected)
            {
                // 加密：使用指定提供者
                section.SectionInformation.ProtectSection(provider);
                Console.WriteLine($"[加密成功] 已使用 {provider} 加密 connectionStrings");
            }
            else if (!encrypt && section.SectionInformation.IsProtected)
            {
                // 解密
                section.SectionInformation.UnprotectSection();
                Console.WriteLine("[解密成功] connectionStrings 已恢復明文");
            }
            else
            {
                Console.WriteLine($"[無需操作] 當前狀態：{(section.SectionInformation.IsProtected ? "已加密" : "明文")}，目標：{(encrypt ? "加密" : "解密")}");
                return;
            }

            // 強制保存並刷新
            section.SectionInformation.ForceSave = true;
            config.Save(ConfigurationSaveMode.Modified);
            ConfigurationManager.RefreshSection("connectionStrings");
        }
        catch (ConfigurationErrorsException ex)
        {
            throw new InvalidOperationException("配置文件保存失敗，請檢查權限或文件是否被佔用", ex);
        }
    }
}

常用加密提供者對比

命令行工具加密（aspnet_regiis.exe）

無需寫代碼，直接使用 .NET 內置工具：

REM 加密 Web.config (ASP.NET 應用)
aspnet_regiis.exe -pef "connectionStrings" "C:\Path\To\WebApp" -prov "DataProtectionConfigurationProvider"

REM 加密 App.config (WinForm/WPF/Console，需重命名為 web.config 暫時處理)
REM 或使用自定義工具調用上述 ToggleEncryption 方法

REM 解密
aspnet_regiis.exe -pdf "connectionStrings" "C:\Path\To\WebApp"

Web 伺服器場部署金鑰同步方案

1. 主節點生成/導出 RSA 金鑰容器：aspnet_regiis -pc "MyKeys" -exp
2. 導出金鑰文件：aspnet_regiis -px "MyKeys" "C:\keys.xml" -pri
3. 分發至所有節點導入：aspnet_regiis -pi "MyKeys" "C:\keys.xml"
4. 授權應用池身份訪問：aspnet_regiis -pa "MyKeys" "IIS APPPOOL\MyAppPool"
5. 配置使用自定義 RSA 提供者（web.config 中註冊）

驗證加密效果

加密後的 connectionStrings 將呈現如下形式：

<connectionStrings configProtectionProvider="DataProtectionConfigurationProvider">
  <EncryptedData>
    <CipherData><CipherValue>AQAAANCMnd8BFdERjHoAwE/Cl+sBAAA...</CipherValue></CipherData>
  </EncryptedData>
</connectionStrings>

應用程序運行時自動解密，代碼讀取方式完全不變：

var connStr = ConfigurationManager.ConnectionStrings["MyDb"].ConnectionString; // 自動獲取解密後明文

注意事項與避坑指南

• 權限要求：進程需擁有配置文件寫入權限；IIS 應用池身份需有讀取權限
• 不可混用：同一配置文件不能同時存在加密與明文的 connectionStrings
• 異機部署：DPAPI 機器級加密綁定機器，跨機器部署必須在目標機器重新加密或使用 RSA 方案
• 版本控制：嚴禁將加密後的配置文件提交至代碼倉庫，應通過 CI/CD 流水線在部署階段動態加密
• 異常處理：加密失敗時拋出 ConfigurationErrorsException，需記錄日誌並告警

總結

利用 .NET 內置 ProtectSection 機制配合 DPAPI/RSA 提供者，可零依賴實現連接字符串生產級加密。核心優勢：無需管理金鑰、代碼零改動、運行時自動解密、支持集群部署。建議結合 CI/CD 流水線在部署階段自動化執行加密，構建「配置文件不落地明文」的安全體系。