向 ASP.NET 和 Azure 应用服务部署密码和其他敏感数据的最佳做法
作者： 里克·安德森
警告
- 切勿在源代码中存储密码或其他敏感数据，包括配置文件。
- 切勿在开发和测试中使用生产机密。
建议使用最安全的身份验证选项。 对于 Azure 服务，最安全的身份验证是托管标识。 对于许多应用，最安全的选项是使用 Azure 密钥库。
避免 资源所有者密码凭据授予 ，因为它：
- 向客户端公开用户的密码。
- 存在重大安全风险。
- 仅当其他身份验证流不可用时，才应使用。
托管标识是对服务进行身份验证的安全方式，无需在代码、环境变量或配置文件中存储凭据。 托管标识可用于 Azure 服务，并可与 Azure SQL、Azure 存储 和其他 Azure 服务一起使用：
将应用部署到测试服务器时，可以使用环境变量向测试数据库服务器设置连接字符串。 有关详细信息，请参阅配置。 切勿使用环境变量来存储生产连接字符串。
有关详细信息，请参阅：