如何在 Asp.Net Core 中 管理敏感数据

译文链接：https://www.infoworld.com/article/3576292/how-to-work-with-user-secrets-in-asp-net-core.html

在应用程序开发时，你肯定会有一些特别需要保护的数据，这些数据通常是非常机密的，敏感的，禁止和别人共享，这些信息包括：数据库连接串，你懂的，毕竟里面有 userid 和 password，还有 OAuth 验证用到的 accesskey，apikey 或者配置 azure，aws 等云服务的连接信息。

当项目和别人共享的时候，这些敏感信息自然也暴露给了别人，这通常是我不想看到的结果，那怎么去预防呢？ASP.NET Core 中有一个叫做 User Secrets 特性，它允许将用户敏感信息存储在项目外的一个 json 文件中，那怎么去管理这个 json 文件呢？你可以通过 命令行工具 Secrets Manager 去进行敏感信息的管理，这篇文章主要就是来聊一聊怎么去管理这个 User Secrets。

在项目中添加 user secrets

可以很方便的将 user secrets 添加到你的项目中，你需要做的仅仅是。

• 在解决方案管理器上选择 project

• 右键点击选择 Manage User Secrets。

然后 Visual Studio 2019 会自动打开一个 secrets.json 文件。

接下来在 secrets.json 中添加一些敏感数据。

{"ConnectionString": "This is a test connection string","APIKey": "This is s secret key","AppSettings": {"GlobalSettings": {"GlobalAccessKey": "This is a global access key!"}} }

对了， 默认的 secret.json 文件路径如下：

C:\Users\38034\AppData\Roaming\Microsoft\UserSecrets\b87644d3-6898-47e4-8580-b3de15f22b96

把项目编译一下，然后打开 project 的meta文件 .csproj，你会发现新增了一个 UserSecretsId 节点，代码如下：

<Project Sdk="Microsoft.NET.Sdk.Web"><PropertyGroup><TargetFramework>netcoreapp3.1</TargetFramework><UserSecretsId>e4f51d14-ddc1-48f4-bb34-84c114e3d6d0</UserSecretsId></PropertyGroup> </Project>

使用 Secret Manager tool 管理工具

这个 Secret Manager tool 是 .NET Core 中的一个命令行管理工具，主要用来管理 Configuration 和 敏感数据，在这一节中我们一起看看怎么使用这个小工具。

生成 user secrets

在 cmd 窗口输入如下命令：

dotnet user-secrets init

新增 user secrets 内容

要想看到当前所有的 secrets，输入以下命令。

dotnet user-secrets list

下图展示了我之前创建的一些 key。

接下来用 set 命令设置一条敏感数据。

dotnet user-secrets set "AuthorApiKey" "xyz1@3"

访问 secret

为了能够实现用代码去访问，可以用 ASP.NET Core 里的 Configuration Api，HomeController 的代码如下：

public class HomeController : Controller{private readonly ILogger<HomeController> _logger;public HomeController(ILogger<HomeController> logger){_logger = logger;}//Action methods go here - this is done for brevity}

因为需要用 Configuration Api 去访问，这里我准备用依赖注入的方式来实现 configuration 的注入，代码如下：

public class HomeController : Controller{private readonly ILogger<HomeController> _logger;private readonly IConfiguration _config;public HomeController(ILogger<HomeController> logger,IConfiguration config){_logger = logger;_config = config;}//Action methods go here - this is done for brevity}

删除 secret

要想删除这个 key，可以使用下面的命令。

dotnet user-secrets remove "AuthorApiKey"

如果你想移除所有的key，可以使用下面的命令。

dotnet user-secrets clear

如果你想移除某一个层级中的子层key，可以使用 : 运算符，代码如下：

dotnet user-secrets remove "AppSettings:GlobalSettings"

ASP.NET Core 重定义了对 Configuration 中的数据配置，管理和保护，而且还有这个非常 ????????的  User Secrets，可以很好的替代以前用环境变量的方式，而且可以确保源码中不再有任何敏感数据，毕竟 User Secrets 是存储在项目之外的一个文件夹下，这个路径之前也给大家看到了，是 windows 的一个 用户文件夹。

不过这里有一个缺点，存储在 User Secrets 中的数据是以明文形式存在的，不用怕，后面的文章我会讨论一些其他的方法来保护用户敏感数据，比如说：Azure application settings 和  Azure key vault。

总结

以上是生活随笔为你收集整理的如何在 Asp.Net Core 中 管理敏感数据的全部内容，希望文章能够帮你解决所遇到的问题。

如果觉得生活随笔网站内容还不错，欢迎将生活随笔推荐给好友。