web.config 中的连接字符串安全性
我有一个即将公开的网站，该网站在自己的应用程序池下的 IIS 7.5 中运行。在站点的 web.config 中，有一个未加密的 SQL 数据库连接字符串。
以自己的身份运行应用程序池是否更好？然后在 web.config 中使用 sql 身份验证连接到数据库，这意味着我将失去 Kerbeos 身份验证对数据库的好处。
或者我应该将应用程序池配置为在其自己的身份下运行？然后在连接字符串中使用集成安全性来获得 Windows 安全性的好处？
I have a web site due to go public which runs in IIS 7.5 under its own app pool. In the web.config for the site there is an un-encrypted connection string to a sql database.
Is it better to run the app pool under its own identity & then use sql authentication in the web.config to connect to the database, which would mean that I would lose the benefit of Kerbeos authentication to the db.
Or should I configure the app pool to run under its own identity & then use integrated security in the connection string to get the benefits of windows security ?
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（2）
如果可以的话，您应该运行应用程序池并使用集成安全性。 #2 这样做的好处是，如果您的网站遭到黑客攻击，您的密码也不会泄露。但是，这并不能阻止任何 SQL 注入类型的攻击。
You should run the app pool and use integrated security if you have the option. #2 This has the benefit of not leaking your passwords if your site ever gets hacked. However, this won't prevent any SQL injection type attacks.
如果您对服务器有足够的控制权，那么请使用 Windows 身份验证。虽然我不能说它是否“更好”，但我认为它会更容易管理。
If you have that much control over the servers, then go with windows authentication. While I can't say if it is "better", I would think it would be easier to manage.