如何在C#连接字符串中隐藏密码？

Question

我有以下连接字符串:

Data Source=Paul-HP\MYDB;Initial Catalog=MyMSDBSQL;Persist Security Info=True;User ID=sa;Password=password

(.net webservice)显然可以通过打开app.config文件并查看配置设置来查看.

我需要的是一种让黑客无法看到密码的方法.但同时,保持可自定义,以便在部署到另一个数据库时可以更改它.

Answer 1

你有很多选择 - 我所知道的(按照优先顺序排列):

1. 使用集成(SSPI)安全性,您无需在配置文件中包含密码
2. 加密连接字符串(请参阅使用受保护的配置加密配置信息)
3. 分别存储用户名和密码,并使用字符串格式构建完整的连接字符串,

例如,连接字符串可能如下所示:

Data Source=Paul-HP\MYDB;Initial Catalog=MyMSDBSQL;Persist Security Info=True;User ID={0};Password={1}

我会选择选项1,如果那不可能那么选项2.我已经提到选项3的完整性.

您是否阅读过保护连接信息(ADO.NET)？

Answer 2

首先,不要使用"SA"帐户.如果有人获得密码,它会使您的数据库全开.使用仅允许在特定数据库上执行CRUD操作的自定义帐户.

获得的唯一方法web.config是破解您的服务器.如果他们这样做了,你还是被搞砸了.