C#如何使用IDataProtectionProvider ASP.NET Core数据保护API用法-C#.Net教程-PHP中文网

IDataProtectionProvider 是 ASP.NET Core 数据保护系统的工厂接口，用于创建按 purpose 隔离的 IDataProtector 实例以加密/解密敏感数据；默认自动注册，需通过 DI 获取，Protect/Unprotect 操作需异常处理，生产环境须配置持久化密钥与唯一应用名。

c#如何使用idataprotectionprovider asp.net core数据保护api用法

在 ASP.NET Core 中，IDataProtectionProvider 是数据保护系统的核心接口，用于创建 IDataProtector 实例，进而对敏感数据（如 Cookie 内容、临时令牌、连接字符串片段等）进行加密/解密。它不是直接用来加解密的，而是“工厂”——你用它获取有特定目的（purpose string）的保护器。

注册与获取 IDataProtectionProvider

ASP.NET Core 默认已自动注册数据保护服务（IDataProtectionProvider 和底层实现），无需手动 Add。你只需在需要的地方通过依赖注入获取即可：

在控制器中：通过构造函数注入 IDataProtectionProvider
在中间件或静态工具类中：可通过 IHttpContextAccessor 或从 IServiceScope 解析
在 Program.cs / Startup.cs 中配置数据保护选项（如密钥存储位置、应用名称）可影响整个生命周期

用 purpose 字符串隔离保护上下文

同一个 IDataProtectionProvider 可以创建多个不同用途的 IDataProtector，它们彼此独立、密钥隔离。这是关键安全实践：

provider.CreateProtector("Auth.Ticket") → 专用于认证票据
provider.CreateProtector("Email.ConfirmationToken") → 专用于邮箱验证令牌
即使底层密钥相同，不同 purpose 的加密结果无法互相解密，防止越权复用

加解密基本操作

拿到 IDataProtector 后，使用 Protect() 和 Unprotect() 方法：

Web Accessibility (WCAG 2 AA))

将 WCAG 2 AA 无障碍标准应用于设计系统、UI 组件和网页——通过可运行的验证器进行对比度计算，采用设计 token 模式使颜色天生可访问，设定排版和焦点状态规则，并提供语义检查清单。适用于构建或审查 UI。

下载

string encrypted = protector.Protect("my-secret-value");
string original = protector.Unprotect(encrypted);
Unprotect() 失败时会抛出 CryptographicException（例如密钥轮换后旧数据无法解密，或被篡改），应捕获处理
输入输出都是 string（Base64 编码的字节数组），也支持 byte[] 重载

常见配置与注意事项

默认情况下，数据保护系统使用临时密钥（重启丢失），生产环境必须显式配置持久化和应用标识：

调用 AddDataProtection() 并链式配置：.SetApplicationName("MyApp-Production")
指定密钥存储位置：.PersistKeysToFileSystem(new DirectoryInfo("/shared/keys"))（Linux/容器推荐）或 .PersistKeysToAzureBlobStorage
避免跨环境共享密钥目录；开发/测试/生产应使用不同 ApplicationName 或密钥目录
不建议用数据保护 API 替代密码哈希（如用户密码）——它设计用于短期、可逆的保护，而非不可逆散列

基本上就这些。用好 IDataProtectionProvider 的关键是：注入即用、purpose 隔离、生产配持久化、解密要异常处理。