authentication - 是否必须使用 Secret Manager 来存储 Microsoft 外部登录 ClientId 和 ClientSecret

Question

我已按照 Microsoft为 ASP.Net Core 设置 Microsoft 外部登录的说明进行操作，但我已将客户端 ID 和客户端密码直接粘贴到代码的 Startup.cs 中。一切正常，但我担心安全性。这是不好的做法/不推荐吗？还是我一定要使用Secret Manager并从那里引用它们？

标签： authenticationasp.net-coresecret-manager

Answer 1

我已经研究并在这里找到了答案：来源

不，这不是强制性的，而是strongly recommended出于安全目的。

Microsoft 建议使用Never store passwords or other sensitive data in source code，这是常识，但此资源作为一个整体包含客户端 ID 和机密。

此外，该资源提到要用于的 Secret Manager Development purposes only。可以在 Azure Key Vault 中存储 Microsoft 应用程序 ID（客户端 ID）和用于生产的机密（如果您愿意，也可以进行开发）。