這些節(jié)中的每一個都可以有選擇地被加密，或者通過編程方式或通過aspnet_regiis.exe（一個命令行工具）實現(xiàn)。當被加密時，加密后的文本直接存儲在配置文件中。例如，如果我們要加密上面的＜connectionStrings＞節(jié)，那么結果Web.config文件可能看起來如下所示：(注意：篇幅所限，我們省略了一大塊＜CipherValue＞)

　　另外，存在一些你不能使用這個技術加密的配置部分：

　　· ＜processModel＞
　　· ＜runtime＞
　　· ＜mscorlib＞
　　· ＜startup＞
　　· ＜system.runtime.remoting＞
　　· ＜configProtectedData＞
　　· ＜satelliteassemblies＞
　　· ＜cryptographySettings＞
　　· ＜cryptoNameMapping＞
　　· ＜cryptoClasses＞

　　為了加密這些配置部分，你必須加密這些值并把它存儲在注冊表中。存在一個aspnet_setreg.exe命令行工具可以幫助你實現(xiàn)這一過程；我們將在本文后面討論這個工具。

　　【提示】Web.Config和Machine.Config之區(qū)別：

　　Web.config文件指定針對一個特定的web應用程序的配置設置，并且位于應用程序的根目錄下；而machine.config文件指定所有的位于該web服務器上的站點的配置設置，并且位于$WINDOWSDIR$\Microsoft.Net\Framework\Version\CONFIG目錄下。

　　四、加密選項

　　開發(fā)人員可以使用ASP.NET 2.0提供程序模型來保護配置節(jié)信息，這允許任何實現(xiàn)都可以被無縫地插入到該API中。.NET框架2.0中提供了兩個內(nèi)置的提供程序用于保護配置節(jié)信息：

　　· Windows數(shù)據(jù)保護API(DPAPI)提供程序(DataProtectionConfigurationProvider)：這個提供程序使用Windows內(nèi)置的密碼學技術來加解密配置節(jié)。默認情況下，這個提供程序使用本機的密鑰。你還能夠使用用戶密鑰，但是這要求進行一點定制。

　　· RSA保護的配置提供程序(RSAProtectedConfigurationProvider)：使用RSA公鑰加密來加解密配置節(jié)。使用這個提供程序，你需要創(chuàng)建存儲用于加解密配置信息的公鑰和私鑰的密鑰容器。你能夠在一個多服務器場所下使用RSA，這只要創(chuàng)建可輸出的密鑰容器即可。
當然，如果需要的話，你還能夠創(chuàng)建自己的保護設置提供程序。

　　在本文中，我們僅討論使用DPAPI提供程序使用機器級密鑰。到目前為止，這是最簡單的方法，因為它不請求創(chuàng)建任何密鑰或密鑰容器。當然，其消極的一面在于：一個加密的配置文件僅能夠用于首先實現(xiàn)加密的web服務器上；而且，使用機器密鑰將允許加密的文本能夠被web服務器上的任何網(wǎng)站所解密。

　　五、以編程方式加密配置部分

　　System.Configuration.SectionInformation類對一個配置節(jié)的描述進行了抽象。為了加密一個配置節(jié)，只需要簡單地使用SectionInformation類的ProtectSection(提供程序)方法，傳遞你想使用的提供程序的名字來執(zhí)行加密。為了存取你的應用程序的Web.config文件中的一個特定的配置節(jié)，你可以使用WebConfigurationManager類(在System.Web.Configuration命名空間中)來引用你的Web.config文件，然后使用它的GetSection(sectionName)方法返回一個ConfigurationSection實例。最后，你可以經(jīng)由ConfigurationSection實例的SectionInformation屬性得到一個SectionInformation對象。

　　下面，我們通過一個簡單的代碼示例來說明問題：

privatevoid ProtectSection(string sectionName， string provider)
{
　Configuration config = WebConfigurationManager.
　OpenWebConfiguration(Request.ApplicationPath);
　ConfigurationSection section = config.GetSection(sectionName);
　if (section != null &&!section.SectionInformation.IsProtected)
　{
　　section.SectionInformation.ProtectSection(provider);
　　config.Save();
　}
}
private void UnProtectSection(string sectionName) {
　Configuration config =WebConfigurationManager.OpenWebConfiguration(Request.ApplicationPath);
　ConfigurationSection section = config.GetSectio n(sectionName);
　if (section != null && section.SectionInformation.IsProtected)
　{
　　section.SectionInformation.UnprotectSection();
　　config.Save();
　}

　　你可以從一個ASP.NET頁面中調(diào)用這個ProtectSection(sectionName，provider)方法，其相應的參數(shù)是一個節(jié)名(如connectionStrings)和一個提供程序(如DataProtectionConfigurationProvider)，并且它打開Web.config文件，引用該節(jié)，調(diào)用SectionInformation對象的ProtectSection(provider)方法，最后保存配置變化。

　　另一方面，UnProtectSection(provider)方法實現(xiàn)解密一個特定的配置節(jié)。在此，僅需要傳入要解密的節(jié)-我們不需要麻煩提供程序，因為該信息已經(jīng)存儲在伴隨encrypted節(jié)的標記中(也即是，在上面的示例中的＜connectionStrings＞節(jié)，在被加密以后，它包含了提供程序：＜connectionStringsconfigProtectionProvider="DataProtectionConfigurationProvider"＞)。

　　記住，一旦該數(shù)據(jù)被加密，當從一個ASP.NET頁面讀取它時(也即是，從一個SqlDataSource控件或以編程方式經(jīng)由ConfigurationManager.ConnectionStrings[connStringName].ConnectionString讀取該連接字符串信息)，ASP.NET會自動地解密該連接字符串并且返回普通文本值。換句話說，在實現(xiàn)加密后，你一點不需要改變你的代碼。相當酷，對不對？

　　從本文下載的示例ASP.NET 2.0網(wǎng)站中，你會發(fā)現(xiàn)有一個示例頁面，它展示了該站點的Web.config文件，其中有一個多行TextBox，還提供了相應的Web控件按鈕用于加密配置文件的各個部分。這個示例中也使用了上面已經(jīng)討論過的ProtectSection()和UnProtectSection()方法。

　　六、 使用命令行工具aspnet_regiis.exe

　　你還能夠使用aspnet_regiis.exe命令行工具來加密和解密Web.config文件配置部分，你可以在"%WINDOWSDIR%\Microsoft.Net\Framework\version"目錄下找到這個工具。為了加密Web.config文件中的一個節(jié)，你可以在這個命令行工具中使用DPAPI機器密鑰，如下所示：

　　加密一個特定網(wǎng)站的Web.config文件的通用形式：

aspnet_regiis.exe -pef section physical_directory -prov provider

　　或：

aspnet_regiis.exe -pe section -app virtual_directory -prov provider

　　加密一個特定網(wǎng)站的Web.config文件的具體實例：

aspnet_regiis.exe -pef "connectionStrings" "C:\Inetpub\wwwroot\MySite" -prov "DataProtectionConfigurationProvider"

　　或：

aspnet_regiis.exe -pe "connectionStrings" -app "/MySite" -prov "DataProtectionConfigurationProvider"

　　解密一個特定網(wǎng)站的Web.config文件的通用形式：

aspnet_regiis.exe -pdf section physical_directory

　　或：

aspnet_regiis.exe -pd section -app virtual_directory 

　　解密一個特定網(wǎng)站的Web.config文件的具體實例：

aspnet_regiis.exe -pdf "connectionStrings" "C:\Inetpub\wwwroot\MySite"

　　或：

　　你還能夠指定由aspnet_regiis.exe來執(zhí)行machine.config文件的加密/解密。

　　【提示】 加密ASP.NET版本1.x中的配置設置

　　為了保護ASP.NET版本1.x中的配置設置，開發(fā)者需要加密并把敏感的設置存儲在web服務器的注冊表中，并以一種"強"鍵方式存儲。配置文件中不是存儲加密的內(nèi)容（如ASP.NET 2.0那樣），而只是包含一個到存儲該加密值的注冊表鍵的引用。例如：

＜identity impersonate="true"
userName="registry:HKLM\SOFTWARE\MY_SECURE_APP\identity\ASPNET_SETREG，userName"
password="registry:HKLM\SOFTWARE\MY_SECURE_APP\identity\ASPNET_SETREG，password" /＞

　　微軟為開發(fā)人員提供了aspnet_setreg.exe命令行工具，用于加密敏感的配置信息并且把它移動到一個"強"注冊表入口處。遺憾的是，這個工具僅針對特定的配置設置工作；相比之下，ASP.NET 2.0允許加密任何配置節(jié)。

　　有關于在一個ASP.NET 1.x應用程序中使用aspnet_setreg.exe的更多信息請參考MSDN中的KB#32990。遺憾的是，這個命令行程序僅能加密配置設置中的預定義的節(jié)，并且不允許你加密你自己添加的數(shù)據(jù)庫連接字符串和其它敏感信息。

　　七、 結論

　　在本文中，我們學習了如何使用ASP.NET 2.0提供的不同的加密選項來保護配置節(jié)信息，還討論了如何使用編程技術和aspnet_regiis.exe來分別加密Web.config中的配置節(jié)。保護你的敏感的配置設置有助于確保你的站點更難于被黑客攻擊-通過使其更難于發(fā)現(xiàn)敏感的配置設置。如今，ASP.NET 2.0已經(jīng)提供了相對容易的加密和解密技術，開發(fā)者毫無理由不使用這種方式來保護你的敏感的配置設置。