ASP.NET Core 数据保护（Data Protection 集群场景）下篇_实用技巧

前言 

接【中篇】 ，在有一些场景下，我们需要对 ASP.NET Core 的加密方法进行扩展，来适应我们的需求，这个时候就需要使用到了一些 Core 提供的高级的功能。 

本文还列举了在集群场景下，有时候我们需要实现自己的一些方法来对Data Protection进行分布式配置。 

加密扩展 

IAuthenticatedEncryptor 和 IAuthenticatedEncryptorDescriptor 

IAuthenticatedEncryptor是 Data Protection 在构建其密码加密系统中的一个基础的接口。
 一般情况下一个key 对应一个IAuthenticatedEncryptor，IAuthenticatedEncryptor封装了加密操作中需要使用到的秘钥材料和必要的加密算法信息等。 

下面是IAuthenticatedEncryptor接口提供的两个 api方法：
Decrypt(ArraySegment<byte> ciphertext, ArraySegment<byte> additionalAuthenticatedData) : byte[]
Encrypt(ArraySegment<byte> plaintext, ArraySegment<byte> additionalAuthenticatedData) : byte[]

其中接口中的参数additionalAuthenticatedData表示在构建加密的时候提供的一些附属信息。 

IAuthenticatedEncryptorDescriptor接口提供了一个创建包含类型信息IAuthenticatedEncryptor实例方法。

CreateEncryptorInstance() : IAuthenticatedEncryptor
ExportToXml() : XmlSerializedDescriptorInfo

密钥管理扩展 

在密钥系统管理中，提供了一个基础的接口IKey，它包含以下属性： 

Activation
creation
expiration dates
Revocation status
Key identifier (a GUID)

IKey还提供了一个创建IAuthenticatedEncryptor实例的方法CreateEncryptorInstance。 

IKeyManager接口提供了一系列用来操作Key的方法，包括存储，检索操作等。他提供的高级操作有：

 •创建一个Key 并且持久存储
 •从存储库中获取所有的 Key
 •撤销保存到存储中的一个或多个键

XmlKeyManager
通常情况下，开发人员不需要去实现IKeyManager来自定义一个 KeyManager。我们可以使用系统默认提供的XmlKeyManager类。 

XMLKeyManager是一个具体实现IKeyManager的类，它提供了一些非常有用的方法。

 public sealed class XmlKeyManager : IKeyManager, IInternalXmlKeyManager
{
 public XmlKeyManager(IXmlRepository repository, IAuthenticatedEncryptorConfiguration configuration, IServiceProvider services);

 public IKey CreateNewKey(DateTimeOffset activationDate, DateTimeOffset expirationDate);
 public IReadOnlyCollection<IKey> GetAllKeys();
 public CancellationToken GetCacheExpirationToken();
 public void RevokeAllKeys(DateTimeOffset revocationDate, string reason = null);
 public void RevokeKey(Guid keyId, string reason = null);
}

•IAuthenticatedEncryptorConfiguration 主要是规定新 Key 使用的算法。
•IXmlRepository 主要控制 Key 在哪里持久化存储。

IXmlRepository 

IXmlRepository接口主要提供了持久化以及检索XML的方法，它只要提供了两个API:
 •GetAllElements() : IReadOnlyCollection
 •StoreElement(XElement element, string friendlyName) 

我们可以通过实现IXmlRepository接口的StoreElement方法来定义data protection xml的存储位置。 

GetAllElements来检索所有存在的加密的xml文件。 

接口部分写到这里吧，因为这一篇我想把重点放到下面，更多接口的介绍大家还是去官方文档看吧～ 

集群场景 

上面的API估计看着有点枯燥，那我们就来看看我们需要在集群场景下借助于Data Protection来做点什么吧。 

就像我在【上篇】总结中末尾提到的，在做分布式集群的时候，Data Protection的一些机制我们需要知道，因为如果不了解这些可能会给你的部署带来一些麻烦，下面我们就来看看吧。 

在做集群的时，我们必须知道并且明白关于 ASP.NET Core Data Protection 的三个东西：

1、程序识别者 

“Application discriminator”，它是用来标识应用程序的唯一性。
 为什么需要这个东西呢？因为在集群环境中，如果不被具体的硬件机器环境所限制，就要排除运行机器的一些差异，就需要抽象出来一些特定的标识，来标识应用程序本身并且使用该标识来区分不同的应用程序。这个时候，我们可以指定ApplicationDiscriminator。 

在services.AddDataProtection(DataProtectionOptions option)的时候，ApplicationDiscriminator可以作为参数传递，来看一下代码：

 public void ConfigureServices(IServiceCollection services)
{
 services.AddDataProtection();

 services.AddDataProtection(DataProtectionOptions option);
}

//===========扩展方法如下：

public static class DataProtectionServiceCollectionExtensions
{
 public static IDataProtectionBuilder AddDataProtection(this IServiceCollection services);

 //具有可传递参数的重载，在集群环境中需要使用此项配置
 public static IDataProtectionBuilder AddDataProtection(this IServiceCollection services, Action<DataProtectionOptions> setupAction);
}

// DataProtectionOptions 属性：
public class DataProtectionOptions
{
 public string ApplicationDiscriminator { get; set; }
}

可以看到这个扩展返回的是一个IDataProtectionBuilder，在IDataProtectionBuilder还有一个扩展方法叫 SetApplicationName ,这个扩展方法在内部还是修改的ApplicationDiscriminator的值。也就说以下写法是等价的：

services.AddDataProtection(x => x.ApplicationDiscriminator = "my_app_sample_identity");

services.AddDataProtection().SetApplicationName("my_app_sample_identity"); 

也就是说集群环境下同一应用程序他们需要设定为相同的值（ApplicationName or ApplicationDiscriminator）。 

2、主加密键 

“Master encryption key”，主要是用来加密解密的，包括一客户端服务器在请求的过程中的一些会话数据，状态等。有几个可选项可以配置，比如使用证书或者是windows DPAPI或者注册表等。如果是非windows平台，注册表和Windows DPAPI就不能用了。

 public void ConfigureServices(IServiceCollection services)
{
 services.AddDataProtection()

 //windows dpaip 作为主加密键
 .ProtectKeysWithDpapi()

 //如果是 windows 8+ 或者windows server2012+ 可以使用此选项（基于Windows DPAPI-NG）
 .ProtectKeysWithDpapiNG("SID={current account SID}", DpapiNGProtectionDescriptorFlags.None)

 //如果是 windows 8+ 或者windows server2012+ 可以使用此选项（基于证书）
 .ProtectKeysWithDpapiNG("CERTIFICATE=HashId:3BCE558E2AD3E0E34A7743EAB5AEA2A9BD2575A0", DpapiNGProtectionDescriptorFlags.None)

 //使用证书作为主加密键，目前只有widnows支持，linux还不支持。
 .ProtectKeysWithCertificate();
}

如果在集群环境中，他们需要具有配置相同的主加密键。 

3、加密后存储位置 

在【上篇】的时候说过，默认情况下Data Protection会生成 xml 文件用来存储session或者是状态的密钥文件。这些文件用来加密或者解密session等状态数据。 

就是上篇中说的那个私钥存储位置：

1、如果程序寄宿在 Microsoft Azure下，存储在“%HOME%\ASP.NET\DataProtection-Keys” 文件夹。
 2、如果程序寄宿在IIS下，它被保存在HKLM注册表的ACLed特殊注册表键，并且只有工作进程可以访问，它使用windows的DPAPI加密。
 3、如果当前用户可用，即win10或者win7中，它存储在“%LOCALAPPDATA%\ASP.NET\DataProtection-Keys”文件夹，同样使用的windows的DPAPI加密。
 4、如果这些都不符合，那么也就是私钥是没有被持久化的，也就是说当进程关闭的时候，生成的私钥就丢失了。 

集群环境下：
 最简单的方式是通过文件共享、DPAPI或者注册表，也就是说把加密过后的xml文件都存储在相同的地方。为什么说最简单，因为系统已经给封装好了，不需要写多余的代码了，但是要保证文件共享相关的端口是开放的。如下：

 public void ConfigureServices(IServiceCollection services)
{
 services.AddDataProtection()
 //windows、Linux、macOS 下可以使用此种方式 保存到文件系统
 .PersistKeysToFileSystem(new System.IO.DirectoryInfo("C:\\share_keys\\"))
 //windows 下可以使用此种方式 保存到注册表
 .PersistKeysToRegistry(Microsoft.Win32.RegistryKey.FromHandle(null))
}

你也可以自己扩展方法来自己定义一些存储，比如使用数据库或者Redis等。 

不过通常情况下，如果在linux上部署的话，都是需要扩展的。下面来看一下我们想要用redis存储，该怎么做呢？ 

如何扩展加密键集合的存储位置？ 

首先，定义个针对IXmlRepository接口的 redis 实现类RedisXmlRepository.cs：

 public class RedisXmlRepository : IXmlRepository, IDisposable
{

 public static readonly string RedisHashKey = "DataProtectionXmlRepository";

 private IConnectionMultiplexer _connection;

 private bool _disposed = false;

 public RedisXmlRepository(string connectionString, ILogger<RedisXmlRepository> logger)
  : this(ConnectionMultiplexer.Connect(connectionString), logger)
 {
 }

 public RedisXmlRepository(IConnectionMultiplexer connection, ILogger<RedisXmlRepository> logger)
 {
  if (connection == null)
  {
   throw new ArgumentNullException(nameof(connection));
  }

  if (logger == null)
  {
   throw new ArgumentNullException(nameof(logger));
  }

  this._connection = connection;
  this.Logger = logger;

  var configuration = Regex.Replace(this._connection.Configuration, @"password\s*=\s*[^,]*", "password=****", RegexOptions.IgnoreCase);
  this.Logger.LogDebug("Storing data protection keys in Redis: {RedisConfiguration}", configuration);
 }

 public ILogger<RedisXmlRepository> Logger { get; private set; }

 public void Dispose()
 {
  this.Dispose(true);
 }
 public IReadOnlyCollection<XElement> GetAllElements()
 {
  var database = this._connection.GetDatabase();
  var hash = database.HashGetAll(RedisHashKey);
  var elements = new List<XElement>();

  if (hash == null || hash.Length == 0)
  {
   return elements.AsReadOnly();
  }

  foreach (var item in hash.ToStringDictionary())
  {
   elements.Add(XElement.Parse(item.Value));
  }

  this.Logger.LogDebug("Read {XmlElementCount} XML elements from Redis.", elements.Count);
  return elements.AsReadOnly();
 }

 public void StoreElement(XElement element, string friendlyName)
 {
  if (element == null)
  {
   throw new ArgumentNullException(nameof(element));
  }

  if (string.IsNullOrEmpty(friendlyName))
  {
   friendlyName = Guid.NewGuid().ToString();
  }

  this.Logger.LogDebug("Storing XML element with friendly name {XmlElementFriendlyName}.", friendlyName);

  this._connection.GetDatabase().HashSet(RedisHashKey, friendlyName, element.ToString());
 }
 protected virtual void Dispose(bool disposing)
 {
  if (!this._disposed)
  {
   if (disposing)
   {
    if (this._connection != null)
    {
     this._connection.Close();
     this._connection.Dispose();
    }
   }

   this._connection = null;
   this._disposed = true;
  }
 }
}

然后任意一个扩展类中先定义一个扩展方法：

 public static IDataProtectionBuilder PersistKeysToRedis(this IDataProtectionBuilder builder, string redisConnectionString)
{
 if (builder == null)
 {
  throw new ArgumentNullException(nameof(builder));
 }

 if (redisConnectionString == null)
 {
  throw new ArgumentNullException(nameof(redisConnectionString));
 }

 if (redisConnectionString.Length == 0)
 {
  throw new ArgumentException("Redis connection string may not be empty.", nameof(redisConnectionString));
 }

 //因为在services.AddDataProtection()的时候，已经注入了IXmlRepository，所以应该先移除掉
 //此处应该封装成为一个方法来调用，为了读者好理解，我就直接写了
 for (int i = builder.Services.Count - 1; i >= 0; i--)
 {
  if (builder.Services[i]?.ServiceType == descriptor.ServiceType)
  {
   builder.Services.RemoveAt(i);
  }
 }

  var descriptor = ServiceDescriptor.Singleton<IXmlRepository>(services => new RedisXmlRepository(redisConnectionString, services.GetRequiredService<ILogger<RedisXmlRepository>>()))

  builder.Services.Add(descriptor);

  return builder.Use();
}

最终Services中关于DataProtection是这样的：

 public void ConfigureServices(IServiceCollection services)
{
 services.AddDataProtection()

 // ================以下是唯一标识==============

 //设置应用程序唯一标识
 .SetApplicationName("my_app_sample_identity");

 // =============以下是主加密键===============

 //windows dpaip 作为主加密键
 .ProtectKeysWithDpapi()

 //如果是 windows 8+ 或者windows server2012+ 可以使用此选项（基于Windows DPAPI-NG）
 .ProtectKeysWithDpapiNG("SID={current account SID}", DpapiNGProtectionDescriptorFlags.None)

 //如果是 windows 8+ 或者windows server2012+ 可以使用此选项（基于证书）
 .ProtectKeysWithDpapiNG("CERTIFICATE=HashId:3BCE558E2AD3E0E34A7743EAB5AEA2A9BD2575A0", DpapiNGProtectionDescriptorFlags.None)

 //使用证书作为主加密键，目前只有widnows支持，linux还不支持。
 .ProtectKeysWithCertificate();

 // ==============以下是存储位置=================

 //windows、Linux、macOS 下可以使用此种方式 保存到文件系统
 .PersistKeysToFileSystem(new System.IO.DirectoryInfo("C:\\share_keys\\"))

 //windows 下可以使用此种方式 保存到注册表
 .PersistKeysToRegistry(Microsoft.Win32.RegistryKey.FromHandle(null)) 

  // 存储到redis
 .PersistKeysToRedis(Configuration.Section["RedisConnection"])
}

在上面的配置中，我把所有可以使用的配置都列出来了哦，实际项目中应该视实际情况选择。 

总结 

关于ASP.NET Core Data Protection 系列终于写完了，其实这这部分花了蛮多时间的，对于Data Protection来说我也是一个循循渐进的学习过程，希望能帮助到一些人。

以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持。

以上是小编为您精心准备的的内容，在的博客、问答、公众号、人物、课程等栏目也有的相关内容，欢迎继续使用右上角搜索按钮进行搜索asp.net
， data
， core
， 数据保护
Protection
，以便于您获取更多的相关知识。

时间： 2024-09-17 04:36:54

ASP.NET Core 数据保护（Data Protection 集群场景）下篇_实用技巧的相关文章

浅谈如何在ASP.NET Core中实现一个基础的身份认证_实用技巧

ASP.NET终于可以跨平台了,但是不是我们常用的ASP.NET, 而是叫一个ASP.NET Core的新平台,他可以跨Windows, Linux, OS X等平台来部署你的web应用程序,你可以理解为,这个框架就是ASP.NET的下一个版本,相对于传统ASP.NET程序,它还是有一些不同的地方的,比如很多类库在这两个平台之间是不通用的. 今天首先我们在ASP.NET Core中来实现一个基础的身份认证,既登陆功能. 前期准备: 1.推荐使用 VS 2015 Update3 作为你的IDE,下

解决ASP.NET Core Mvc文件上传限制问题实例_实用技巧

一.简介 在ASP.NET Core MVC中,文件上传的最大上传文件默认为20MB,如果我们想上传一些比较大的文件,就不知道怎么去设置了,没有了Web.Config我们应该如何下手呢? 二.设置上传文件大小 1.应用程序级别设置 我们需要在 ConfigureServices方法中添加如下代码,设置文件上传的大小限制为60 MB. public void ConfigureServices(IServiceCollection services) { servicesConfigure<For

解决asp.net core在输出中文时乱码的问题_实用技巧

前言 作为一个.NET Web开发者,我最伤心的时候就是项目开发部署时面对Windows Server上贫瘠的解决方案,同样是神器Nginx,Win上的Nginx便始终不如Linux上的,你或许会说"干嘛不用windows自带的NLB呢",那这就是我这个小鸟的从众心理了,君不见Stack Overflow 2016最新架构中,用的负载和缓存技术也都是采用在Linux上已经成熟的解决方案吗.没办法的时候找个适合的解决办法是好事,有办法的时候当然要选择最好的解决办法. 所幸,.ASP.NE

asp.net core集成kindeditor实现图片上传功能_实用技巧

本文为大家分享了asp.net core 如何集成kindeditor并实现图片上传功能的具体方法,供大家参考,具体内容如下 准备工作 1.visual studio 2015 update3开发环境 2.net core 1.0.1 及以上版本 目录 新建asp.net core web项目 下载kindeditor 增加图片上传控制器 配置kindeditor参数 代码下载 新建asp.net core web项目 新建一个asp.net core项目,这里命名为kindeditor 选中w

Asp.net Core 初探（发布和部署Linux）_实用技巧

前言 俗话说三天不学习,赶不上刘少奇.Asp.net Core更新这么长时间一直观望,周末帝都小雨,宅在家看了下Core Web App,顺便搭建了个HelloWorld环境来尝尝鲜,第一次看到.Net Web运行在Linux上还是有点小激动(只可惜微软走这一步路走的太晚,要不然屌丝们也不会每每遇见Java VS .Net就想辩论个你死我活).  开发环境和部署环境 Windows 10.VS2015 Update3.安装.Net Core SDK.DotNetCore.1.0.1-VS2015

详解ASP.NET Core应用中如何记录和查看日志_实用技巧

日志记录不仅对于我们开发的应用,还是对于ASP.NET Core框架功能都是一项非常重要的功能特性.我们知道ASP.NET Core使用的是一个极具扩展性的日志系统,该系统由Logger.LoggerFactory和LoggerProvider这三个核心对象组成.我们可以通过简单的配置实现对LoggerFactory的定制,以及对LoggerProvider添加. 一. 配置LoggerFactory 我们在上面一节演示了一个展示ASP.NET Core默认注册服务的实例,细心的读者一定会看到显

ASP.NET Core Kestrel 中使用 HTTPS （SSL）_实用技巧

在ASP.NET Core中,如果在Kestrel中想使用HTTPS对站点进行加密传输,可以按照如下方式  申请证书  这一步就不详细说了,有免费的和收费的,申请完成之后会给你一个*.pfx结尾的文件.  添加NuGet包  nuget中查找然后再程序中添加引用Microsoft.AspNetCore.Server.Kestrel.Https  配置  把*.pfx结尾的文件拷贝的程序的Web根目录,然后修改Programs.cs文件: public class Program { public

asp.net开发中怎样去突破文件依赖缓存_实用技巧

在Web项目中可以使用Session,Application等来缓存数据,也可以使用Cache来缓存. 今天我们特别关注的是Cache缓存.Cache位于命名空间System.Web.Caching命名空间下,看到这里我们想到的是它在Web项目中使用. 说明:Cache 类不能在 ASP.NET 应用程序外使用.它是为在 ASP.NET 中用于为 Web 应用程序提供缓存而设计和测试的.在其他类型的应用程序(如控制台应用程序或 Windows 窗体应用程序)中,ASP.NET 缓存可能无法正常工

解决 .NET Core 中 GetHostAddressesAsync 引起的 EnyimMemcached 死锁问题_实用技巧

在我们将站点从 ASP.NET + Windows 迁移至 ASP.NET Core + Linux 的过程中,目前遇到的最大障碍就是 -- 没有可用的支持 .NET Core 的 memcached 客户端. 我们一直用的是 EnyimMemcached ,在没有其它选择的情况下,我们自己尝试着将 EnyimMemcached 迁移至 .NET Core...基于 .NET Core 修改好了代码,在开发环境下测试通过,在 Linux 服务器上自己访问很正常(没有并发访问量),但是只要接入一定