ASP.NET Core（二十八）存储开发中的应用机密

小渣渣

需求：项目中可以需要和第三方接口进行交互，例如：支付、短信、邮件、公众号等，调用这些接口都需要凭证（常说的：Token、密钥），如果项目比较重要（或者在大型团队中），这些配置项不建议直接写在源代码中的配置文件，因为配置也会被提交到源码仓库中，源码代码中的配置一旦泄露，可能会造成比较严重的后果，可以利用 .NET 推出的应用机密来保证配置的安全，同时，又不影响开发。

机密管理器工具存储应用程序开发期间的敏感数据。 在此上下文中，一段敏感数据是应用机密。 应用机密存储在与项目树不同的位置。 应用机密与特定项目关联，或者跨多个项目共享。 应用机密不会签入到源代码管理中。

首先，在配置文件中添加如下：

登录可见。

然后进行读取，如下图：

登录可见。

假设配置中的 Site 属于机密信息，不应该签入到代码仓库中，可以在 VS 右击“管理用户机密”来启用该功能，配置如下：

登录可见。

同时 .csproj 文件会增加 UserSecretsId 一段配置，重新运行项目，发现配置已经是读取的机密信息（用户机密密钥优先于 appsettings.json 和 appsettings.{Environment}.json 中的密钥），如下图：



机密配置文件存储路径：

Windows：%APPDATA%\Microsoft\UserSecrets\<user_secrets_id>\secrets.json
Linux：~/.microsoft/usersecrets/<user_secrets_id>/secrets.json

以 Windows 为例，如下图：



参考：

https://learn.microsoft.com/zh-cn/aspnet/core/security/app-secrets
https://learn.microsoft.com/zh-cn/aspnet/core/fundamentals/configuration

小渣渣

ASP.NET Core（十）Configuration 配置优先级详解
https://www.itsvse.com/thread-10265-1-1.html