ASP.NET Core 数据保护（Data Protection 集群场景）下篇

站长资源 2024/11/30 佚名

2 0 1

前言

接【中篇】，在有一些场景下，我们需要对 ASP.NET Core 的加密方法进行扩展，来适应我们的需求，这个时候就需要使用到了一些 Core 提供的高级的功能。

本文还列举了在集群场景下，有时候我们需要实现自己的一些方法来对Data Protection进行分布式配置。

加密扩展

IAuthenticatedEncryptor 和 IAuthenticatedEncryptorDescriptor

IAuthenticatedEncryptor是 Data Protection 在构建其密码加密系统中的一个基础的接口。
一般情况下一个key 对应一个IAuthenticatedEncryptor，IAuthenticatedEncryptor封装了加密操作中需要使用到的秘钥材料和必要的加密算法信息等。

下面是IAuthenticatedEncryptor接口提供的两个 api方法：
Decrypt(ArraySegment<byte> ciphertext, ArraySegment<byte> additionalAuthenticatedData) : byte[]
Encrypt(ArraySegment<byte> plaintext, ArraySegment<byte> additionalAuthenticatedData) : byte[]

其中接口中的参数additionalAuthenticatedData表示在构建加密的时候提供的一些附属信息。

IAuthenticatedEncryptorDescriptor接口提供了一个创建包含类型信息IAuthenticatedEncryptor实例方法。

CreateEncryptorInstance() : IAuthenticatedEncryptor
ExportToXml() : XmlSerializedDescriptorInfo

密钥管理扩展

在密钥系统管理中，提供了一个基础的接口IKey，它包含以下属性：

Activation
creation
expiration dates
Revocation status
Key identifier (a GUID)

IKey还提供了一个创建IAuthenticatedEncryptor实例的方法CreateEncryptorInstance。

IKeyManager接口提供了一系列用来操作Key的方法，包括存储，检索操作等。他提供的高级操作有：

"color: #3366ff">XmlKeyManager
通常情况下，开发人员不需要去实现IKeyManager来自定义一个 KeyManager。我们可以使用系统默认提供的XmlKeyManager类。

XMLKeyManager是一个具体实现IKeyManager的类，它提供了一些非常有用的方法。

 public sealed class XmlKeyManager : IKeyManager, IInternalXmlKeyManager
{
 public XmlKeyManager(IXmlRepository repository, IAuthenticatedEncryptorConfiguration configuration, IServiceProvider services);

 public IKey CreateNewKey(DateTimeOffset activationDate, DateTimeOffset expirationDate);
 public IReadOnlyCollection<IKey> GetAllKeys();
 public CancellationToken GetCacheExpirationToken();
 public void RevokeAllKeys(DateTimeOffset revocationDate, string reason = null);
 public void RevokeKey(Guid keyId, string reason = null);
}

"color: #3366ff">IXmlRepository

IXmlRepository接口主要提供了持久化以及检索XML的方法，它只要提供了两个API:
"color: #800000">1、程序识别者

“Application discriminator”，它是用来标识应用程序的唯一性。
为什么需要这个东西呢？因为在集群环境中，如果不被具体的硬件机器环境所限制，就要排除运行机器的一些差异，就需要抽象出来一些特定的标识，来标识应用程序本身并且使用该标识来区分不同的应用程序。这个时候，我们可以指定ApplicationDiscriminator。

在services.AddDataProtection(DataProtectionOptions option)的时候，ApplicationDiscriminator可以作为参数传递，来看一下代码：

 public void ConfigureServices(IServiceCollection services) 
{
 services.AddDataProtection();

 services.AddDataProtection(DataProtectionOptions option);
}

//===========扩展方法如下：

public static class DataProtectionServiceCollectionExtensions
{
 public static IDataProtectionBuilder AddDataProtection(this IServiceCollection services);
 
 //具有可传递参数的重载，在集群环境中需要使用此项配置
 public static IDataProtectionBuilder AddDataProtection(this IServiceCollection services, Action<DataProtectionOptions> setupAction);
}

// DataProtectionOptions 属性：
public class DataProtectionOptions
{
 public string ApplicationDiscriminator { get; set; }
}

可以看到这个扩展返回的是一个IDataProtectionBuilder，在IDataProtectionBuilder还有一个扩展方法叫 SetApplicationName ,这个扩展方法在内部还是修改的ApplicationDiscriminator的值。也就说以下写法是等价的：

services.AddDataProtection(x => x.ApplicationDiscriminator = "my_app_sample_identity");

services.AddDataProtection().SetApplicationName("my_app_sample_identity");

也就是说集群环境下同一应用程序他们需要设定为相同的值（ApplicationName or ApplicationDiscriminator）。

2、主加密键

“Master encryption key”，主要是用来加密解密的，包括一客户端服务器在请求的过程中的一些会话数据，状态等。有几个可选项可以配置，比如使用证书或者是windows DPAPI或者注册表等。如果是非windows平台，注册表和Windows DPAPI就不能用了。

 public void ConfigureServices(IServiceCollection services) 
{
 services.AddDataProtection()
 
 //windows dpaip 作为主加密键
 .ProtectKeysWithDpapi()
 
 //如果是 windows 8+ 或者windows server2012+ 可以使用此选项（基于Windows DPAPI-NG）
 .ProtectKeysWithDpapiNG("SID={current account SID}", DpapiNGProtectionDescriptorFlags.None)
 
 //如果是 windows 8+ 或者windows server2012+ 可以使用此选项（基于证书）
 .ProtectKeysWithDpapiNG("CERTIFICATE=HashId:3BCE558E2AD3E0E34A7743EAB5AEA2A9BD2575A0", DpapiNGProtectionDescriptorFlags.None)
 
 //使用证书作为主加密键，目前只有widnows支持，linux还不支持。
 .ProtectKeysWithCertificate();
}

如果在集群环境中，他们需要具有配置相同的主加密键。

3、加密后存储位置

在【上篇】的时候说过，默认情况下Data Protection会生成 xml 文件用来存储session或者是状态的密钥文件。这些文件用来加密或者解密session等状态数据。

就是上篇中说的那个私钥存储位置：

1、如果程序寄宿在 Microsoft Azure下，存储在“%HOME%\ASP.NET\DataProtection-Keys” 文件夹。
2、如果程序寄宿在IIS下，它被保存在HKLM注册表的ACLed特殊注册表键，并且只有工作进程可以访问，它使用windows的DPAPI加密。
3、如果当前用户可用，即win10或者win7中，它存储在“%LOCALAPPDATA%\ASP.NET\DataProtection-Keys”文件夹，同样使用的windows的DPAPI加密。
4、如果这些都不符合，那么也就是私钥是没有被持久化的，也就是说当进程关闭的时候，生成的私钥就丢失了。

集群环境下：
最简单的方式是通过文件共享、DPAPI或者注册表，也就是说把加密过后的xml文件都存储在相同的地方。为什么说最简单，因为系统已经给封装好了，不需要写多余的代码了，但是要保证文件共享相关的端口是开放的。如下：

 public void ConfigureServices(IServiceCollection services) 
{
 services.AddDataProtection()
 //windows、Linux、macOS 下可以使用此种方式 保存到文件系统
 .PersistKeysToFileSystem(new System.IO.DirectoryInfo("C:\\share_keys\\"))
 //windows 下可以使用此种方式 保存到注册表
 .PersistKeysToRegistry(Microsoft.Win32.RegistryKey.FromHandle(null)) 
}

你也可以自己扩展方法来自己定义一些存储，比如使用数据库或者Redis等。

不过通常情况下，如果在linux上部署的话，都是需要扩展的。下面来看一下我们想要用redis存储，该怎么做呢？

如何扩展加密键集合的存储位置？

首先，定义个针对IXmlRepository接口的 redis 实现类RedisXmlRepository.cs：

 public class RedisXmlRepository : IXmlRepository, IDisposable
{

 public static readonly string RedisHashKey = "DataProtectionXmlRepository";
 
 private IConnectionMultiplexer _connection;
 
 private bool _disposed = false;
 
 public RedisXmlRepository(string connectionString, ILogger<RedisXmlRepository> logger)
  : this(ConnectionMultiplexer.Connect(connectionString), logger)
 {
 }
 
 public RedisXmlRepository(IConnectionMultiplexer connection, ILogger<RedisXmlRepository> logger)
 {
  if (connection == null)
  {
   throw new ArgumentNullException(nameof(connection));
  }
 
  if (logger == null)
  {
   throw new ArgumentNullException(nameof(logger));
  }
 
  this._connection = connection;
  this.Logger = logger;
 
  var configuration = Regex.Replace(this._connection.Configuration, @"password\s*=\s*[^,]*", "password=****", RegexOptions.IgnoreCase);
  this.Logger.LogDebug("Storing data protection keys in Redis: {RedisConfiguration}", configuration);
 }
 
 public ILogger<RedisXmlRepository> Logger { get; private set; }
 
 public void Dispose()
 {
  this.Dispose(true);
 }
 public IReadOnlyCollection<XElement> GetAllElements()
 {
  var database = this._connection.GetDatabase();
  var hash = database.HashGetAll(RedisHashKey);
  var elements = new List<XElement>();
 
  if (hash == null || hash.Length == 0)
  {
   return elements.AsReadOnly();
  }
 
  foreach (var item in hash.ToStringDictionary())
  {
   elements.Add(XElement.Parse(item.Value));
  }
 
  this.Logger.LogDebug("Read {XmlElementCount} XML elements from Redis.", elements.Count);
  return elements.AsReadOnly();
 }
 
 public void StoreElement(XElement element, string friendlyName)
 {
  if (element == null)
  {
   throw new ArgumentNullException(nameof(element));
  }
 
  if (string.IsNullOrEmpty(friendlyName))
  {
   friendlyName = Guid.NewGuid().ToString();
  }
 
  this.Logger.LogDebug("Storing XML element with friendly name {XmlElementFriendlyName}.", friendlyName);
 
  this._connection.GetDatabase().HashSet(RedisHashKey, friendlyName, element.ToString());
 }
 protected virtual void Dispose(bool disposing)
 {
  if (!this._disposed)
  {
   if (disposing)
   {
    if (this._connection != null)
    {
     this._connection.Close();
     this._connection.Dispose();
    }
   }
 
   this._connection = null;
   this._disposed = true;
  }
 }
}

然后任意一个扩展类中先定义一个扩展方法：

 public static IDataProtectionBuilder PersistKeysToRedis(this IDataProtectionBuilder builder, string redisConnectionString)
{
 if (builder == null)
 {
  throw new ArgumentNullException(nameof(builder));
 }

 if (redisConnectionString == null)
 {
  throw new ArgumentNullException(nameof(redisConnectionString));
 }

 if (redisConnectionString.Length == 0)
 {
  throw new ArgumentException("Redis connection string may not be empty.", nameof(redisConnectionString));
 }
 
 //因为在services.AddDataProtection()的时候，已经注入了IXmlRepository，所以应该先移除掉
 //此处应该封装成为一个方法来调用，为了读者好理解，我就直接写了
 for (int i = builder.Services.Count - 1; i >= 0; i--)
 {
  if (builder.Services[i]"htmlcode">

 public void ConfigureServices(IServiceCollection services) 
{
 services.AddDataProtection()
 
 // ================以下是唯一标识==============
 
 //设置应用程序唯一标识
 .SetApplicationName("my_app_sample_identity");
 
 
 // =============以下是主加密键===============
 
 //windows dpaip 作为主加密键
 .ProtectKeysWithDpapi()
 
 //如果是 windows 8+ 或者windows server2012+ 可以使用此选项（基于Windows DPAPI-NG）
 .ProtectKeysWithDpapiNG("SID={current account SID}", DpapiNGProtectionDescriptorFlags.None)
 
 //如果是 windows 8+ 或者windows server2012+ 可以使用此选项（基于证书）
 .ProtectKeysWithDpapiNG("CERTIFICATE=HashId:3BCE558E2AD3E0E34A7743EAB5AEA2A9BD2575A0", DpapiNGProtectionDescriptorFlags.None)
 
 //使用证书作为主加密键，目前只有widnows支持，linux还不支持。
 .ProtectKeysWithCertificate();
 
 
 // ==============以下是存储位置=================
 
 //windows、Linux、macOS 下可以使用此种方式 保存到文件系统
 .PersistKeysToFileSystem(new System.IO.DirectoryInfo("C:\\share_keys\\"))
 
 //windows 下可以使用此种方式 保存到注册表
 .PersistKeysToRegistry(Microsoft.Win32.RegistryKey.FromHandle(null)) 
 
  // 存储到redis
 .PersistKeysToRedis(Configuration.Section["RedisConnection"])
} 



在上面的配置中，我把所有可以使用的配置都列出来了哦，实际项目中应该视实际情况选择。 
总结 


关于ASP.NET Core Data Protection 系列终于写完了，其实这这部分花了蛮多时间的，对于Data Protection来说我也是一个循循渐进的学习过程，希望能帮助到一些人。


以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持。

ASP.NET,Core,数据保护,Data,Protection

广告合作：本站广告合作请联系QQ：858582 申请时备注：广告合作（否则不回）
免责声明：本站资源来自互联网收集,仅供用于学习和交流,请遵循相关法律法规,本站一切资源不代表本站立场,如有侵权、后门、不妥请联系本站删除！

评论“ASP.NET Core 数据保护（Data Protection 集群场景）下篇”

暂无评论...

www.wwsws.com 伏龙阁资源网

39,976影音资源

44,792技术资源

21,817软件资源

651,128站长资源

RTX 5090要首发性能要翻倍！三星展示GDDR7显存

三星在GTC上展示了专为下一代游戏GPU设计的GDDR7内存。

首次推出的GDDR7内存模块密度为16GB，每个模块容量为2GB。其速度预设为32 Gbps（PAM3），但也可以降至28 Gbps，以提高产量和初始阶段的整体性能和成本效益。
据三星表示，GDDR7内存的能效将提高20%，同时工作电压仅为1.1V，低于标准的1.2V。通过采用更新的封装材料和优化的电路设计，使得在高速运行时的发热量降低，GDDR7的热阻比GDDR6降低了70%。

更新日志

2024年11月30日

ASP.NET Core 数据保护（Data Protection 集群场景）下篇

ASP.NET 程序员都非常有用的85个工具

ASP.NET Core 数据保护（Data Protection）中篇

评论“ASP.NET Core 数据保护（Data Protection 集群场景）下篇”

RTX 5090要首发性能要翻倍！三星展示GDDR7显存

更新日志

友情链接

ASP.NET Core 数据保护（Data Protection 集群场景）下篇

ASP.NET 程序员都非常有用的85个工具

ASP.NET Core 数据保护（Data Protection）中篇

评论“ASP.NET Core 数据保护（Data Protection 集群场景）下篇”

RTX 5090要首发 性能要翻倍！三星展示GDDR7显存

更新日志

友情链接

RTX 5090要首发性能要翻倍！三星展示GDDR7显存