如何保護 .NET Core 項目的敏感信息

如何保護 .NET Core 項目的敏感信息

在開發 .NET Core 項目時，保護敏感信息（如數據庫連接字符串、API 密鑰、密碼等）是至關重要的。如果這些信息泄露，可能會導致嚴重的安全問題。本文將介紹幾種常見的方法來保護 .NET Core 項目中的敏感信息。

1. 使用環境變量

環境變量是一種常見的存儲敏感信息的方式。通過將敏感信息存儲在環境變量中，可以避免將這些信息硬編碼到代碼中。

1.1 設置環境變量

在開發環境中，可以通過以下方式設置環境變量：

• Windows: 使用 setx 命令或在系統屬性中設置。
• Linux/macOS: 在 ~/.bashrc 或 ~/.zshrc 文件中添加 export 命令。

例如，設置一個名為 DB_CONNECTION_STRING 的環境變量：

export DB_CONNECTION_STRING="Server=myServerAddress;Database=myDataBase;User Id=myUsername;Password=myPassword;"

1.2 在 .NET Core 中讀取環境變量

在 .NET Core 項目中，可以通過 Environment.GetEnvironmentVariable 方法讀取環境變量：

string dbConnectionString = Environment.GetEnvironmentVariable("DB_CONNECTION_STRING");

1.3 在 appsettings.json 中使用環境變量

可以在 appsettings.json 中使用環境變量占位符：

{
  "ConnectionStrings": {
    "DefaultConnection": "%DB_CONNECTION_STRING%"
  }
}

在代碼中讀取配置時，環境變量會自動替換占位符：

string dbConnectionString = Configuration.GetConnectionString("DefaultConnection");

2. 使用 Azure Key Vault

Azure Key Vault 是 Azure 提供的一項服務，用于安全地存儲和管理敏感信息。通過使用 Azure Key Vault，可以將敏感信息存儲在云端，并在應用程序中動態獲取。

2.1 創建 Azure Key Vault

首先，在 Azure 門戶中創建一個 Key Vault，并將敏感信息（如數據庫連接字符串、API 密鑰等）存儲在 Key Vault 中。

2.2 配置 .NET Core 項目

在 .NET Core 項目中，首先需要安裝 Azure.Identity 和 Azure.Extensions.AspNetCore.Configuration.Secrets NuGet 包：

dotnet add package Azure.Identity
dotnet add package Azure.Extensions.AspNetCore.Configuration.Secrets

然后，在 Program.cs 中配置 Key Vault：

using Azure.Identity;
using Azure.Extensions.AspNetCore.Configuration.Secrets;

var builder = WebApplication.CreateBuilder(args);

builder.Configuration.AddAzureKeyVault(
    new Uri("https://<your-key-vault-name>.vault.azure.net/"),
    new DefaultAzureCredential());

var app = builder.Build();

2.3 讀取 Key Vault 中的配置

在代碼中，可以通過 IConfiguration 接口讀取 Key Vault 中的配置：

string dbConnectionString = Configuration["ConnectionStrings:DefaultConnection"];

3. 使用用戶機密（User Secrets）

用戶機密是 .NET Core 提供的一種在開發環境中存儲敏感信息的方式。用戶機密存儲在本地，不會提交到版本控制系統中。

3.1 啟用用戶機密

在項目中啟用用戶機密：

dotnet user-secrets init

3.2 添加機密

使用以下命令添加機密：

dotnet user-secrets set "ConnectionStrings:DefaultConnection" "Server=myServerAddress;Database=myDataBase;User Id=myUsername;Password=myPassword;"

3.3 在代碼中讀取用戶機密

在 Program.cs 中配置用戶機密：

var builder = WebApplication.CreateBuilder(args);

if (builder.Environment.IsDevelopment())
{
    builder.Configuration.AddUserSecrets<Program>();
}

var app = builder.Build();

在代碼中讀取用戶機密：

string dbConnectionString = Configuration.GetConnectionString("DefaultConnection");

4. 使用加密配置文件

在某些情況下，可能需要將敏感信息存儲在配置文件中。為了確保這些信息的安全，可以對配置文件進行加密。

4.1 加密配置文件

可以使用 aspnet_regiis 工具對配置文件進行加密：

aspnet_regiis -pef "connectionStrings" "path\to\your\web.config"

4.2 在 .NET Core 中讀取加密配置文件

在 .NET Core 中，可以通過 ConfigurationBuilder 讀取加密的配置文件：

var builder = new ConfigurationBuilder()
    .SetBasePath(Directory.GetCurrentDirectory())
    .AddJsonFile("appsettings.json", optional: true, reloadOnChange: true)
    .AddEncryptedJsonFile("appsettings.encrypted.json");

var configuration = builder.Build();

5. 使用 Docker Secrets

如果項目部署在 Docker 容器中，可以使用 Docker Secrets 來管理敏感信息。

5.1 創建 Docker Secret

首先，創建一個 Docker Secret：

echo "mysecretpassword" | docker secret create db_password -

5.2 在 Docker Compose 中使用 Secret

在 docker-compose.yml 中引用 Secret：

version: '3.1'

services:
  web:
    image: myapp
    secrets:
      - db_password

secrets:
  db_password:
    file: ./db_password.txt

5.3 在 .NET Core 中讀取 Docker Secret

在 .NET Core 中，可以通過環境變量讀取 Docker Secret：

string dbPassword = Environment.GetEnvironmentVariable("DB_PASSWORD");

6. 總結

保護 .NET Core 項目中的敏感信息是確保應用程序安全的重要步驟。通過使用環境變量、Azure Key Vault、用戶機密、加密配置文件和 Docker Secrets 等方法，可以有效地保護敏感信息，避免泄露風險。在實際開發中，應根據項目的具體需求和部署環境選擇合適的方法來保護敏感信息。