安全地在#if 调试后面隐藏私有 RSA 密钥？

Question

已经找到这么多答案后的第一个问题......

我创建了一个使用 RSA 签名的许可证类。使用公钥检查签名，使用私钥创建签名。由于我只自己创建许可证，因此签名/创建代码不需要在许可证类本身（已发布代码）中。但另一方面，我希望将所有类代码放在一起，而不是在甚至是另一个项目（本地许可证管理器应用程序）的一部分的部分类中编写许可证签名/创建代码。执行以下操作是否安全：

public class License {
    private const string publicRSA = "whatever";

    #if DEBUG

    public void CreateLicense()
    {
        string privateRSA = "whatever again";

        // Do license creation stuff below...

    }

    #endif

    // Other license code follows below....

}

线索是在发布版本中，私钥不应该是可见的，也不是创建许可证的代码，但对我来说，在本地运行在调试模式下使用此类的许可证管理器应用程序没有问题当我需要不时生成许可证时...

我在这里遗漏了什么（关于 C# 中的预编译器行为...）？除了意外发布调试版本之外，我可以这样做吗？有更好的选择吗？

Answer 1

如果条件不满足，if 指令不会编译其中的代码，这意味着无法反汇编已发布的代码以获得私有 RSA 密钥。

当 C# 编译器遇到 #if 指令，最后是 #endif 指令时，只有定义了指定的符号，它才会编译指令之间的代码。

https://msdn.microsoft.com/en-us/library/4y6tbswk.aspx

但是，我们不知道编译器或 Visual Studio 在构建时可能会使用哪种优化，因此它可能会在其他一些临时文件中编译 RSA 代码以进行缓存或其他任何内容，即使发布的代码不包含指定的代码。

另外，建议将此类关键信息存储在另一个文件夹中的另一个文件中，在源代码管理之外，这样就不会被错误提交，并且有一个配置密钥来存储文件的路径，因此可以访问按运行时。您可以在此页面中找到更多信息：

https://www.asp.net/identity/overview/features-api/best-practices-for-deploying-passwords-and-other-sensitive-data-to-aspnet-and-azure