在C#程序里处理密码、密钥等敏感信息时，开发者常会用到SecureString。它和普通string最大的区别是：内容在内存中经过加密，并且能在不再需要时立刻清零。但当我们需要把这类敏感数据写进XML配置或报文时，问题就来了，因为标准的XmlSerializer、DataContractSerializer都无法直接理解SecureString，强行绑定只会得到空节点或序列化失败。
为什么SecureString不能直接序列化
SecureString的设计目标之一是减少敏感数据在进程内存中的明文停留时间。普通string在C#里是不可变的，一旦创建就可能被留在堆上直到GC回收，而SecureString的内容由系统级加密保护，并且支持调用Dispose显式擦除。但是，XML序列化器工作时依赖反射读取公共属性，它们期望拿到string、int这类基础类型。SecureString既没有无参构造函数，也没有可直接映射的普通文本属性，序列化器根本不知道怎么把它变成XML里的字符内容。
如果为了序列化而额外写一个返回明文的string属性，例如把SecureString通过Marshal.PtrToStringBSTR转成普通字符串再输出，那就违背了使用SecureString的初衷：明文string会进入托管堆，可能被内存dump捕获。因此我们需要一个折中方案，让XML里出现的是加密或编码后的内容，而内存中依然尽量用SecureString保管。
安全的转换工具类
下面给出一个工具类，负责在SecureString和普通的base64字符串之间转换。转换时只在非托管内存中短暂出现明文，并尽快清零。注意，这里为了演示把内容做了简单的Unicode转换，实际生产可结合DPAPI或AES再做一层保护。
using System;
using System.Runtime.InteropServices;
using System.Security;
using System.Text;
public static class SecureStringXmlHelper
{
// 把SecureString转成base64字符串用于XML存储
public static string ToXmlSafeString(SecureString secure)
{
if (secure == null) return null;
IntPtr ptr = IntPtr.Zero;
try
{
ptr = Marshal.SecureStringToGlobalAllocUnicode(secure);
string plain = Marshal.PtrToStringUni(ptr);
byte[] bytes = Encoding.UTF8.GetBytes(plain);
// 尽快把明文string覆盖
plain = null;
return Convert.ToBase64String(bytes);
}
finally
{
if (ptr != IntPtr.Zero)
{
Marshal.ZeroFreeGlobalAllocUnicode(ptr);
}
}
}
// 从XML里的base64字符串恢复SecureString
public static SecureString FromXmlSafeString(string xmlValue)
{
if (string.IsNullOrEmpty(xmlValue)) return null;
SecureString secure = new SecureString();
byte[] bytes = Convert.FromBase64String(xmlValue);
string plain = Encoding.UTF8.GetString(bytes);
foreach (char c in plain)
{
secure.AppendChar(c);
}
secure.MakeReadOnly();
plain = null;
return secure;
}
}
上面的代码里，ToXmlSafeString使用Marshal.SecureStringToGlobalAllocUnicode把SecureString解密到非托管内存，再立刻读出并转base64，最后用ZeroFreeGlobalAllocUnicode把非托管块清零。虽然托管侧曾短暂存在plain变量，但我们手动置null并建议配合GC后再处理。FromXmlSafeString则反向操作，逐字符塞进SecureString并设为只读。
这类工具类不应被频繁在大循环里调用，因为涉及非托管内存分配和系统调用。它更适合在加载配置、保存配置这类偶发节点上使用，从而降低明文暴露窗口。
在XML模型中使用
我们可以定义一个配置类，对外暴露string类型的XmlNode字段，内部用SecureString保存真实值。序列化时写入base64，反序列化时还原。
using System;
using System.Security;
using System.Xml.Serialization;
[XmlRoot("config")]
public class AppConfig
{
[XmlElement("encryptedPassword")]
public string EncryptedPassword { get; set; }
[XmlIgnore]
public SecureString Password { get; private set; }
public void LoadFromXml(string xml)
{
var ser = new XmlSerializer(typeof(AppConfig));
using (var reader = new System.IO.StringReader(xml))
{
var cfg = (AppConfig)ser.Deserialize(reader);
this.EncryptedPassword = cfg.EncryptedPassword;
this.Password = SecureStringXmlHelper.FromXmlSafeString(cfg.EncryptedPassword);
}
}
public string SaveToXml()
{
this.EncryptedPassword = SecureStringXmlHelper.ToXmlSafeString(this.Password);
var ser = new XmlSerializer(typeof(AppConfig));
using (var writer = new System.IO.StringWriter())
{
ser.Serialize(writer, this);
return writer.ToString();
}
}
}
在这个模型里，EncryptedPassword会进入XML，而Password仅在内存里以SecureString存在。如果有人拿到XML文件，只能看到一段base64，看不到原始密码。程序启动后调用LoadFromXml把密文还原成SecureString，业务代码直接从Password读取，避免到处传明文string。
需要提醒的是，XmlIgnore标记确保SecureString本身不会被序列化器触碰。若遗漏这个标记，某些序列化器会尝试反射访问并抛异常，所以必须显式忽略。
清理与避坑
使用完SecureString后务必调用Dispose，否则它占用的非托管资源不会及时释放。在ASP.NET或长期运行的服务里，可以把Password存为实例字段，在类析构或Dispose模式里统一清理。
public class ConfigHolder : IDisposable
{
public SecureString Password { get; set; }
public void Dispose()
{
if (Password != null)
{
Password.Dispose();
Password = null;
}
}
}
另外，不要误以为base64就是加密。前文示例里的ToXmlSafeString只做了编码，文件若被读取仍能解码出原密码。在真实项目里，应在ToXmlSafeString之前用ProtectedData.Protect或者AES配合用户密钥再做一次加密，这样即使文件泄露也拿不到明文。
最后，若你的程序运行在Windows且用户上下文固定，更推荐直接用Data Protection API（DPAPI）保护配置块，SecureString主要价值在内存侧。二者结合：内存用SecureString，落盘用DPAPI，才是比较完整的敏感数据方案。
小结
把SecureString安全地用于XML，核心是避开序列化器直接处理SecureString，改为在模型外层用string承载加密或编码后的内容，内部维持SecureString实例。借助Marshal类做受控转换，并严格释放非托管内存，就能在可读性与安全性之间取得平衡。
C#SecureStringXML修改时间：2026-08-08 01:33:30