class AesProtectorKeyRing : ILookupProtectorKeyRing { private readonly object _locker; private readonly Dictionary<string, XDocument> _keyRings; private readonly DirectoryInfo _dirInfo; public AesProtectorKeyRing(IWebHostEnvironment environment) { _locker = new object(); _keyRings = new Dictionary<string, XDocument>(); _dirInfo = new DirectoryInfo($@"{environment.ContentRootPath}\App_Data\AesDataProtectionKey"); ReadKeys(_dirInfo); } public IEnumerable<string> GetAllKeyIds() { return _keyRings.Keys; } public string CurrentKeyId => NewestActivationKey(DateTimeOffset.Now)?.Element("key")?.Attribute("id")?.Value ?? GenerateKey(_dirInfo)?.Element("key")?.Attribute("id")?.Value; public string this[string keyId] => GetAllKeyIds().FirstOrDefault(id => id == keyId) ?? throw new KeyNotFoundException(); private void ReadKeys(DirectoryInfo dirInfo) { foreach (var fileInfo in dirInfo.GetFiles().Where(f => f.Extension == ".xml")) { using (var stream = fileInfo.OpenRead()) { XDocument xmlDoc = XDocument.Load(stream); _keyRings.TryAdd(xmlDoc.Element("key")?.Attribute("id")?.Value, xmlDoc); } } } private XDocument GenerateKey(DirectoryInfo dirInfo) { var now = DateTimeOffset.Now; if (!_keyRings.Any(item => DateTimeOffset.Parse(item.Value.Element("key")?.Element("activationDate")?.Value) <= now && DateTimeOffset.Parse(item.Value.Element("key")?.Element("expirationDate")?.Value) > now)) { lock (_locker) { if (!_keyRings.Any(item => DateTimeOffset.Parse(item.Value.Element("key")?.Element("activationDate")?.Value) <= now && DateTimeOffset.Parse(item.Value.Element("key")?.Element("expirationDate")?.Value) > now)) { var masterKeyId = Guid.NewGuid().ToString(); XDocument xmlDoc = new XDocument(); xmlDoc.Declaration = new XDeclaration("1.0", "utf-8", "yes"); XElement key = new XElement("key"); key.SetAttributeValue("id", masterKeyId); key.SetAttributeValue("version", 1); XElement creationDate = new XElement("creationDate"); creationDate.SetValue(now); XElement activationDate = new XElement("activationDate"); activationDate.SetValue(now); XElement expirationDate = new XElement("expirationDate"); expirationDate.SetValue(now.AddDays(90)); XElement encryption = new XElement("encryption"); encryption.SetAttributeValue("BlockSize", 128); encryption.SetAttributeValue("KeySize", 256); encryption.SetAttributeValue("FeedbackSize", 128); encryption.SetAttributeValue("Padding", PaddingMode.PKCS7); encryption.SetAttributeValue("Mode", CipherMode.CBC); SecurityUtil.AesProtector protector = new SecurityUtil.AesProtector(); XElement masterKey = new XElement("masterKey"); masterKey.SetValue(protector.GenerateKey().ToBase64String()); XElement iv = new XElement("iv"); iv.SetValue(protector.GenerateIV().ToBase64String()); xmlDoc.Add(key); key.Add(creationDate); key.Add(activationDate); key.Add(expirationDate); key.Add(encryption); encryption.Add(masterKey); encryption.Add(iv); xmlDoc.Save( $@"{dirInfo.FullName}\key-{masterKeyId}.xml"); _keyRings.Add(masterKeyId, xmlDoc); return xmlDoc; } return NewestActivationKey(now); } } return NewestActivationKey(now); } private XDocument NewestActivationKey(DateTimeOffset now) { return _keyRings.Where(item => DateTimeOffset.Parse(item.Value.Element("key")?.Element("activationDate")?.Value) <= now && DateTimeOffset.Parse(item.Value.Element("key")?.Element("expirationDate")?.Value) > now) .OrderByDescending(item => DateTimeOffset.Parse(item.Value.Element("key")?.Element("expirationDate")?.Value)).FirstOrDefault().Value; } }
这两个类也是注册到 Asp.Net Core DI 中的服务，所有 DI 的功能都支持。
在其中我还使用了我在其他地方写的底层基础工具类，如果想看完整实现可以去我的 Github 克隆代码实际运行并体验。在这里大致说一下这两个类的设计思路。既然微软设计了钥匙串功能，那自然是要利用好。我在代码里写死每个钥匙有效期90天，过期后会自动生成并使用新的钥匙，钥匙的详细信息使用xml文档保存在项目文件夹中，具体见下面的截图。Identity 会使用最新钥匙进行加密并把钥匙编号一并存入数据库，在读取时会根据编号找到对应的加密器解密数据。这个过程由 EF Core 的值转换器（EF Core 2.1 增加）完成，也就是说 Identity 向 DbContext 中需要加密的字段注册了值转换器。所以我也不清楚早期 Identity 有没有这个功能，不使用 EF Core 的情况下这个功能是否可用。
如果希望对自定义用户数据进行保护，为对应属性标注 [PersonalData] 特性即可。Identity 已经对内部的部分属性进行了标记，比如上面提到的 UserName 。
有几个要特别注意的点：
1、在有数据的情况下不要随便开启或关闭数据保护功能，否则可能导致严重后果。
2、钥匙一定要保护好，保存好。否则可能泄露用户数据或者再也无法解密用户数据，从删库到跑路那种 Shift + Del 的事千万别干。
3、被保护的字段无法在数据库端执行模糊搜索，只能精确匹配。如果希望进行数据分析，只能先用 Identity 把数据读取到内存才能继续做其他事。