使用Entity Framework访问非本地服务器上的数据库时,如何在连接字符串中指定用户名和密码参数(存储在web.config文件中)？
我已经阅读了C#分步指南(John Sharp 2010版),因为潜在的逆向工程或有人掌握了源代码,所以从不硬编码到您的应用程序中.所以我想知道这样做的传统最佳实践.
解决方法
硬编码用户和密码有三个原因：
>它给你一个安全的错误印象,因为当你用文本编辑器查看二进制文件时你什么都不懂,但实际上拆卸.NET程序集是件小事
>它强制所有软件开发人员都知道用户和密码
>这意味着更改用户/密码对需要新的部署,其中还包括重新编译应用程序
这个问题没有神奇的解决方案,在这种情况下,安全性只能与负责安全的人员的纪律和善意一样好.
在我的公司,它是这样的：
>软件开发人员无权访问生产数据库,而且他们肯定不知道用户和密码
>软件管理员拥有用户名和密码,当他们在生产机器上部署应用程序时,他们将开发部门提交的web.config与他们自己的秘密合并
>没有其他人可以从软件管理员访问生产机器appart
加密web.config中的用户和密码只会对你有所帮助.最终,您必须在应用程序中以清晰的形式对加密密钥进行硬编码,这会将我们带回到反汇编问题中.
在我看来,一个非常好的解决方案是将我公司发生的事情和加密与明确的密钥和混淆相结合.
一般的想法是：
>采取我对应用程序管理员的说法
>修改一个小细节：他们不知道明确的用户名和密码,他们知道加密的表格
>只有开发人员有密钥才能解密加密的用户名和密码,他们会在运行时使用它
>开发人员应该对他们的程序集进行模糊处理,以便任何人都不值得尝试对二进制文件进行逆向工程,找出清除密钥,以某种方式向应用程序管理员询问加密的用户名和密码是什么(在工作场所中喝酒时) )然后把所有东西放在一起
这意味着某人(可能是公司的所有者或其他负责人)需要使用“greasemonkey”应用程序来加密用户名和密码,并将结果加密给应用程序管理员.
