.net framework可用aspnet_regiis.exe加密connectionstrings，但.net core+必须用azure key vault、环境变量或usersecrets；dpapi仅限windows单机，硬编码密钥比不加密更危险。
连接字符串不能靠“藏”或“混淆”来保护，明文写在 appsettings.json 或 app.config 里，等于把数据库钥匙贴在服务器登录界面上。真正的加密必须和运行时加载机制对齐，否则不是无效就是引入新漏洞。
aspnet_regiis.exe 只适用于 .NET Framework 的 app.config/web.config
这个工具能加密 connectionStrings 节，且运行时自动解密，但前提是：项目目标框架是 .NET Framework 4.x，配置文件是 app.config（WinForms/WPF/Console）或 web.config（ASP.NET Web Forms/MVC）。它不支持 .NET Core 及以后任何版本。
- 命令示例：
aspnet_regiis.exe -pef "connectionStrings" "C:\MyApp"，注意路径是编译后输出目录，不是源码里的app.config - 加密后内容被替换成
<encrypteddata></encrypteddata>块，ConfigurationManager.ConnectionStrings["Default"]仍可直接取值 - 失败常见原因：没用
-pef而用-pe（后者要求 IIS 元数据库）、provider 未注册、目标节名拼错（比如写成"ConnectionStrings"大写了） - 跨机器部署会失败——DPAPI 加密绑定当前用户或本机，换服务器就解不开
.NET 6+ 必须用 IConfigurationBuilder + 外部密钥服务
ProtectedConfiguration 类、aspnet_regiis.exe、ConfigurationManager 在 .NET Core 及以后全被移除。你不能再“加密配置文件”，而要“不让敏感值进配置文件”。
使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。
- 生产环境首选
Azure Key Vault：builder.Configuration.AddAzureKeyVault(...)必须显式调用，且应用身份需有Get和List权限 - 密钥名禁用冒号和点号：
ConnectionStrings:Default会报错，改用ConnectionStrings_Default - 本地开发可用
UserSecretsId，但仅限单机，不能提交到 Git，也不能用于 CI/CD 流水线 - 环境变量是最轻量的替代方案：
ConnectionStrings__DefaultConnection=Server=...;Password=xxx（双下划线代替冒号），启动时自动注入
自己 AES 加密 connectionStrings 节？别碰这个坑
有人想读取 appsettings.json 后手动 AES 解密再塞回 IConfiguration，这看似可控，实则破坏 .NET 配置合并逻辑。
-
IConfiguration是只读快照，修改ConfigurationRoot内部结构可能被后续配置源覆盖 - 密钥和 IV 若硬编码在代码里（哪怕只是
"testkey123"），等于没加密 - 若用
AddInMemoryCollection注入解密后值，必须在builder.Build()之前完成，晚一秒就失效 - 更隐蔽的问题：多个环境（Dev/Staging/Prod）共用同一套加解密逻辑，但密钥管理没隔离，一泄露全崩
DPAPI（ProtectedData）适合单机桌面应用，但有硬限制
如果你做的是 WinForms/WPF 独立部署软件，且不跨机器同步配置，ProtectedData.Protect() 是最省事的选择——它不依赖外部服务，也不需要管理密钥。
- 加密范围只能是字节数组，所以得先
Encoding.UTF8.GetBytes()，再Protect()，最后Convert.ToBase64String() -
scope: DataProtectionScope.CurrentUser表示只能被当前 Windows 用户解密；LocalMachine表示同台机器任意用户都可解，安全性更低 - Linux/macOS 上完全不可用，.NET 6+ 的
ProtectedData仅 Windows 实现 - 别把它和配置文件加密混用：加密后的 Base64 字符串仍要存进 JSON，只是“看起来不像密码”，实际仍属明文传输风险
真正难的不是“怎么加密”，而是“谁有权解密”和“密钥生命周期怎么管”。一个写死在代码里的 AES 密钥，比没加密还危险——它给了攻击者确定性入口。所有方案里，唯一能绕过密钥管理负担的，只有云密钥服务；而唯一不用改架构就能落地的，只剩环境变量。其他路，每一步都在增加维护成本和出错概率。
