DTO中的加密和解密敏感特性

Question

我有一个WebAPI应用程序。它包含基本上是纯文本的数据。我想在将所有ID字段推向API响应时加密所有ID字段。同时，当我推向实体时，我想解密相同的数据。

我现在做了什么。

我正在使用自动应用程序来映射我的DTO和实体。我已经制定了加密和解密数据的方法。

dto model

public class MyDTO
{
  public int Id { get; set; }
  public string Property1 {get; set; }
  public string Property2 { get; set; }
  public int AnotherModelId { get; set }
}

我的自动应用程序

//Encrypting Id for DTO
CreateMap<MyEntity, MyDTO>()
                .ForMember(o => o.Id, i => i.MapFrom(m => MySecurity.Encrypt(m.Id)))
                .ForMember(o => o.AnotherModelId, i => i.MapFrom(m => MySecurity.Encrypt(m.AnotherModelId)));

//Decrypting Id for Entity
CreateMap<MyDTO, MyEntity>()
                .ForMember(o => o.Id, i => i.MapFrom(m => MySecurity.Decrypt(m.Id)))
                .ForMember(o => o.AnotherModelId, i => i.MapFrom(m => MySecurity.Decrypt(m.AnotherModelId)));

这可以很好地运行，并在我将价值传递回实体时在映射器和解密中加密ID。问题是我需要为我正在使用的每个createMap＆gt;语句编写。

我的问题是，对于.NET中的ID字段进行此加密和解密肯定必须有一种更好的方法，

我看到了[Securestring]属性，该属性说“不要使用”每个人。所以我不想使用它。

在模型和实体模型本身中，有没有更好的方法来编写此内容，而不是在Automapper或其他方式中写这件？

Answer 1

为所有需要加密的类创建一个基类：

public class Encryptable
{
    private int _id;
    public int Id
    {
        set
       {
           _id = MySecurity.Encrypt(value);
       }
       get
       {
            return MySecurity.Decrypt(_id);
       } 
    }
}

现在继承所有您希望其ID加密的类：

public class MyDTO: Encryptable
{
    ....
}

现在您可以像通常一样使用AutoMapper（无需加密和解密），让类本身本身为您处理。

Answer 2

首先...您可能应该从设置TLS和HTTP安全标头开始保护Web应用程序本身。 （我建议您查看SecurityHeaders.com，以便快速概述可能性），

其次...除此之外。如果您确实必须加密这些键，那么我可能会选择一个界面的组合，用于识别ID并为这些DTO（ - ＆gt; this接口）编写自定义JSONCONVERTER，以照顾加密/解密。

Microsoft在.net 6中有一个很好的文档

。 rel =“ nofollow noreferrer”>如何为json序列化编写自定义转换器

第三：如果您不希望ID猜测，则应使用GUID。它们甚至可以通过EF核心用作身份。