c# – 使用Entity Framework时,如何将数据库用户名和密码安全地

>它给你一个安全的错误印象,因为当你用文本编辑器查看二进制文件时你什么都不懂,但实际上拆卸.NET程序集是件小事
>它强制所有软件开发人员都知道用户和密码
>这意味着更改用户/密码对需要新的部署,其中还包括重新编译应用程序

这个问题没有神奇的解决方案,在这种情况下,安全性只能与负责安全的人员的纪律和善意一样好.

在我的公司,它是这样的：

>软件开发人员无权访问生产数据库,而且他们肯定不知道用户和密码
>软件管理员拥有用户名和密码,当他们在生产机器上部署应用程序时,他们将开发部门提交的web.config与他们自己的秘密合并
>没有其他人可以从软件管理员访问生产机器appart

加密web.config中的用户和密码只会对你有所帮助.最终,您必须在应用程序中以清晰的形式对加密密钥进行硬编码,这会将我们带回到反汇编问题中.

在我看来,一个非常好的解决方案是将我公司发生的事情和加密与明确的密钥和混淆相结合.

一般的想法是：

>采取我对应用程序管理员的说法
>修改一个小细节：他们不知道明确的用户名和密码,他们知道加密的表格
>只有开发人员有密钥才能解密加密的用户名和密码,他们会在运行时使用它
>开发人员应该对他们的程序集进行模糊处理,以便任何人都不值得尝试对二进制文件进行逆向工程,找出清除密钥,以某种方式向应用程序管理员询问加密的用户名和密码是什么(在工作场所中喝酒时) )然后把所有东西放在一起

这意味着某人(可能是公司的所有者或其他负责人)需要使用“greasemonkey”应用程序来加密用户名和密码,并将结果加密给应用程序管理员.

不要忘记还有数据库管理员最初给所有者一个初始的凭证对.所有者需要更改密码,然后执行我布置的所有操作.

总之,有许多解决方案,有些比其他解决方案更狡猾.它不仅仅在工具和代码中,而且在学科中.