加密 web.config 连接字符串 - 它是否使用站点的机器密钥？我也加密机器密钥吗？

Question

看这里：https : //msdn.microsoft.com/en-us/library/dtkwfdky.aspx

他们对machineKey中的web.config和进行加密ConnectionStrings。

这是因为，当使用machineKey每个站点的自定义时，它会使用机器密钥来加密连接字符串吗？

或者机器密钥只是用于视图状态加密？因此，对其进行加密以帮助保护应用程序是否明智？

Answer 1

MachineKey仅用于加密/解密/验证 ASP.NET cookie 和防伪令牌，它主要处理与用户数据相关的安全性。MachineKey与解密配置值无关。ASP.NET 不会使用MachineKey解密连接字符串。

事实上MachineKey，它与连接字符串一样敏感，因为在获取它之后，某人可以轻松创建经过身份验证的 cookie，这将允许他们登录任何用户。这就是为什么它应该被加密。

你必须MachineKey自己加密。