如何在 PRODUCTION 中保持连接字符串和 API 密钥的安全

Question

我即将将 .net 核心应用程序部署到生产环境（核心 2.2）。我知道在开发过程中要存储的用户机密和环境变量。但是，确保这些密码和 API 密钥不会在生产环境中公开的最佳实践是什么？而且，将这些存储在托管 Web 服务器上的 appsettings.json 中有多安全？我的应用程序是半关键任务，如果它们泄露出去将是一场灾难。最后，是否有任何开源/付费代码 sn-ps 来协助加密这些？ 谢谢卢克。

Answer 1

将它们存储在 appsettings.json 中是不安全的，如果可能，您可能需要考虑将它们存储在 Vault 中（这些选项中的最佳选择）或环境变量、注册表或磁盘上的文件中。

无论您将敏感数据存储在何处，都不应以明文形式存储敏感数据，而应始终对其进行加密。使用 NET Core，您可以使用数据保护 API（内置，因此它是免费的）或 aspnet_regiis.exe 对其进行加密。两者都需要在同一台机器上加密和解密才能工作。