存储web api凭据的安全方式

本文关键字：安全 方式 web api 存储 | 更新日期: 2023-09-27 18:22:19

我的web应用程序登录到web api中。这需要一封电子邮件和密码。我无法在数据库中散列这些，因为api需要纯文本的密码。

如何以比纯文本、xor或base64更安全的方式存储web api凭据？这类事情有"合适"的解决方案吗？

存储web api凭据的安全方式

是的，有ProtectedData类，它允许您加密绑定到windows用户帐户的对象，因此如果将user.config文件复制到另一个用户/计算机，它将无法在中工作

在设置文件中，创建两个名为ApiUsername和ApiPassword的字符串属性，然后单击顶部的"查看代码"并添加以下函数

internal sealed partial class Settings {
    private MD5 md5 = MD5.Create();
    public global::System.Net.NetworkCredential ApiLogin
    {
        get
        {
            global::System.Net.NetworkCredential tmp = null;
            if (ApiPassword != "")
            {
                tmp = new System.Net.NetworkCredential();
                tmp.UserName = ApiUsername;
                try
                {
                    tmp.Password = System.Text.Encoding.UTF8.GetString(ProtectedData.Unprotect(Convert.FromBase64String(ApiPassword), md5.ComputeHash(System.Text.Encoding.UTF8.GetBytes(ApiUsername.ToUpper())), DataProtectionScope.CurrentUser));
                }
                catch
                {
                    tmp.Password = "";
                }
            }
            return tmp;
        }
        set
        {
            global::System.Net.NetworkCredential tmp2 = value;
            ApiUsername = tmp2.UserName;
            ApiPassword = Convert.ToBase64String(ProtectedData.Protect(System.Text.Encoding.UTF8.GetBytes(tmp2.Password), md5.ComputeHash(System.Text.Encoding.UTF8.GetBytes(tmp2.UserName.ToUpper())), DataProtectionScope.CurrentUser));
        }
    }
}

这将添加一个名为ApiLogin的可访问属性，该属性将包含一个带有解密密码的NetworkCredential，当您将凭据保存到磁盘时，它将以加密的受保护形式存储它，该形式不能复制到其他用户。

如果解密失败，则会在返回的凭据中将密码设置为空。如果您想在这台机器上的任何用户帐户上使用deception，请将ProtectionScope更改为DataProtectionScope.LocalMachine。

相关文章：