根本原因是connectionStrings节被machine.config锁定，需先在web.config的configSections中声明requirePermission="false"；WinForms/Console应用须用-pef指定物理路径加密app.config.exe；解密失败多因密钥容器权限或provider不匹配。
aspnet_regiis 加密失败：提示“配置节已被锁定”怎么办
根本原因是 connectionStrings 节默认被 machine.config 锁定，直接运行 aspnet_regiis -pe "connectionStrings" -app "/YourApp" 会报错：Exception: The configuration section 'connectionStrings' cannot be encrypted because it is not marked as encryptable.
必须先在 web.config（或 app.config 的对应位置）中显式声明该节可加密：
- 对
app.config：它本身不支持<configsections></configsections>中的requirePermission="false"，所以只能改用web.config方式——即把app.config当作 Web 应用处理，但更稳妥的做法是改用代码加密（见下一条） - 对
web.config：在<configsections></configsections>内添加：<section name="connectionStrings" type="System.Configuration.ConnectionStringsSection" requirepermission="false"></section>
- 加密命令中的
-app参数路径必须和 IIS 或 IIS Express 中的应用程序路径完全一致（比如/MyWinFormsApp是无效的；WinForms 不走 IIS，不能用-app）
WinForms / Console 程序怎么用 aspnet_regiis 加密 app.config
aspnet_regiis 本质只认 Web 配置路径，对 WinForms/Console 的 app.config 文件，它不识别 -app，必须用 -pef（encrypt file）并指定完整物理路径。
操作步骤：
- 确保
app.config已重命名为YourApp.exe.config（发布后实际文件名），且和 exe 在同一目录 - 打开管理员权限的 VS 开发者命令提示符（不是普通 PowerShell）
- 执行：
aspnet_regiis -pef "connectionStrings" "C:\path\to\YourApp.exe.config"
- 加密后生成的
encrytedData是 Base64 编码，内容不可读，但 .NET 运行时会自动解密——前提是运行环境有对应 RSA 密钥容器（通常是NetFrameworkConfigurationKey） - 如果部署到其他机器，需导出密钥：
aspnet_regiis -px "NetFrameworkConfigurationKey" "key.xml" -pri，再在目标机导入：aspnet_regiis -pi "NetFrameworkConfigurationKey" "key.xml"
为什么解密时抛出 ConfigurationErrorsException：无法解密已加密的数据
常见于部署后首次运行，错误信息类似：Failed to decrypt using provider 'RsaProtectedConfigurationProvider'. Error message from the provider: Object already exists.
本质是密钥容器缺失或权限不对：
- RSA 密钥默认存于用户级容器，而 Windows 服务或 IIS 应用池账户（如
ApplicationPoolIdentity）无权访问当前用户密钥 - 解决方法：改用机器级密钥容器，在命令中加
-prov "DataProtectionConfigurationProvider"（轻量、无需导出密钥、自动跨用户生效） - 或者，强制使用机器级 RSA 容器：
aspnet_regiis -pc "NetFrameworkConfigurationKey" -exp
，再运行加密命令时加-prov "RsaProtectedConfigurationProvider" - 检查
app.config中<configprotecteddata></configprotecteddata>节是否与实际使用的 provider 名称一致（大小写敏感）
加密后连接字符串里出现 却连不上数据库
不是加密失败，而是运行时没触发自动解密——最常被忽略的一点：.NET Framework 版本和配置节名称必须严格匹配。
- 确认你的项目目标框架是 .NET Framework（不是 .NET Core / .NET 5+），后者完全不支持
aspnet_regiis - 检查
app.config中<connectionstrings></connectionstrings>是否拼写正确，不能是<connectionstrings></connectionstrings>或<connectionstring></connectionstring> - 连接字符串必须通过
ConfigurationManager.ConnectionStrings["xxx"]访问，不能手动读取 XML 或用AppSettings - 如果用了自定义配置节（比如封装了
DbConfigSection），aspnet_regiis对它无效，必须自己实现ProtectedConfigurationProvider
密钥、路径、provider、框架版本、访问方式——四个点里错一个，<encrypteddata></encrypteddata> 就只是 XML 字符串，不会变成真实密码。
