C#如何使用IDataProtectionProvider实现ASP.NET Core数据保护API用法

在ASP.NET Core应用中，处理用户敏感数据、生成防篡改的令牌等场景都需要可靠的数据保护机制，IDataProtectionProvider是框架内置的数据保护API核心接口，提供了标准化的加密解密能力，无需开发者自行实现复杂的加密算法。

IDataProtectionProvider基础配置

ASP.NET Core默认已经集成了数据保护服务，无需额外安装NuGet包，只需要在程序启动时注册相关服务即可。如果是Web应用，默认配置已经足够使用，也可以根据需求自定义配置。

在Program.cs中添加数据保护服务注册的代码如下：

// 注册数据保护服务
builder.Services.AddDataProtection()
    // 设置应用唯一标识，不同应用使用相同标识可以共享密钥
    .SetApplicationName("MyApp")
    // 自定义密钥存储路径，默认存储在系统特定目录
    .PersistKeysToFileSystem(new DirectoryInfo(@"D:keys"))
    // 设置密钥生命周期，默认90天
    .SetDefaultKeyLifetime(TimeSpan.FromDays(180));

数据加密解密基础用法

IDataProtectionProvider本身不直接提供加密解密方法，需要通过CreateProtector方法创建IDataProtector实例，再调用对应的方法完成操作。

创建保护实例

首先通过依赖注入获取IDataProtectionProvider实例，再创建具体的保护对象，保护对象可以传入多个字符串作为目的参数，用于区分不同的保护场景，避免不同场景的加密数据互相混淆。

using Microsoft.AspNetCore.DataProtection;

public class DataProtectionService
{
    private readonly IDataProtector _protector;

    // 构造函数注入IDataProtectionProvider
    public DataProtectionService(IDataProtectionProvider provider)
    {
        // 创建保护实例，传入目的字符串区分场景
        _protector = provider.CreateProtector("user_token_protect");
    }
}

加密数据

使用IDataProtector的Protect方法对明文数据进行加密，该方法接收字符串类型的明文，返回加密后的字符串，加密结果已经过Base64编码，可以直接存储或传输。

public string EncryptData(string plainText)
{
    if (string.IsNullOrEmpty(plainText))
    {
        return string.Empty;
    }
    // 调用Protect方法加密
    return _protector.Protect(plainText);
}

解密数据

解密使用IDataProtector的Unprotect方法，传入之前加密得到的字符串，返回原始明文。如果加密字符串被篡改或者密钥已经过期，该方法会抛出异常，需要进行异常处理。

public string DecryptData(string encryptedText)
{
    if (string.IsNullOrEmpty(encryptedText))
    {
        return string.Empty;
    }
    try
    {
        // 调用Unprotect方法解密
        return _protector.Unprotect(encryptedText);
    }
    catch (Exception ex)
    {
        // 处理解密异常，比如密钥过期、数据被篡改等
        Console.WriteLine($"解密失败：{ex.Message}");
        return string.Empty;
    }
}

完整使用示例

以下是一个在ASP.NET Core控制器中使用数据保护API的完整示例，实现用户令牌的加密生成和解密验证：

using Microsoft.AspNetCore.DataProtection;
using Microsoft.AspNetCore.Mvc;

[ApiController]
[Route("api/[controller]")]
public class UserController : ControllerBase
{
    private readonly IDataProtector _tokenProtector;

    public UserController(IDataProtectionProvider provider)
    {
        // 创建用户令牌场景的保护实例
        _tokenProtector = provider.CreateProtector("user_auth_token");
    }

    [HttpPost("generate-token")]
    public IActionResult GenerateToken(string userId)
    {
        // 明文令牌包含用户ID和生成时间
        string plainToken = $"{userId}_{DateTime.UtcNow.Ticks}";
        // 加密令牌
        string encryptedToken = _tokenProtector.Protect(plainToken);
        return Ok(new { Token = encryptedToken });
    }

    [HttpPost("validate-token")]
    public IActionResult ValidateToken(string encryptedToken)
    {
        try
        {
            // 解密令牌
            string plainToken = _tokenProtector.Unprotect(encryptedToken);
            string[] tokenParts = plainToken.Split('_');
            if (tokenParts.Length != 2)
            {
                return BadRequest("令牌格式错误");
            }
            string userId = tokenParts[0];
            return Ok(new { UserId = userId, IsValid = true });
        }
        catch
        {
            return BadRequest("令牌无效或已过期");
        }
    }
}

注意事项

• 密钥管理：默认情况下密钥会存储在系统目录，生产环境建议配置持久化存储，并且定期轮换密钥，避免密钥泄露导致数据被破解。
• 目的参数：创建IDataProtector时传入的目的字符串非常重要，不同场景使用不同的目的参数，可以防止加密数据跨场景使用。
• 异常处理：解密操作一定要做好异常捕获，因为密钥过期、数据被篡改都会导致解密失败抛出异常。
• 适用场景：该API适合用于短期数据的保护，比如令牌、临时验证码等，不适合加密需要长期存储的静态敏感数据。

IDataProtectionProviderASP.NET_Core数据保护C#修改时间：2026-07-03 23:21:33