Как уже сказали в комментариях, строка подключения в любом случае может быть получена злоумышленником если она находится в файле конфигурации или коде программы. Обфускация может немного замедлить этот процесс, но не остановить.
Есть и еще один минус прямого обращения к БД из приложения - необходимость предоставлять доступ к серверу БД из внешней сети, со всеми вытекающими проблемами безопасности.
Однако есть способ не выставлять сервер наружу и не передавать в приложение строку подключения, но потребуется дополнительная работа. Если это не пугает - читаем дальше.
Для безопасной работы с БД необходимо:
- вынести функции доступа к БД в сервис WCF;
- в контракте сервиса определить необходимые методы, которые будут доступны приложению;
- настроить привязку приложения к сервису.
- все функции приложения работы с БД выполнять только через вызовы соответствующих методов сервиса.
Работы много, а что взамен?
- WCF сервис может размещаться на сервере доступном из внешней сети и иметь прямой доступ к изолированному во внутренней сети серверу БД. То есть фактически будет выполнять роль шлюза.
- Приложение может обращаться только к методам сервиса, при этом не имея возможности видеть какие именно команды скрыты за методами сервиса.
- Приложению не требуется строка подключения к БД. Приложение вообще не знает что оно работает с БД, он работает с сервисом.
- При правильной обработке параметров в методах сервиса, исключены SQL-инъекции, т.к. никакого SQL-кода не передается, весь SQL инкапсулирован в сервисе. (да, при кривой реализации SQL-инъекцию можно пропихнуть и через WCF)
- сам по себе сервис достаточно легкий, сточки зрения потребления системных ресурсов, и можно одновременно держать 2 и более сервисов для приложений разных версий, которые при этом работают с одной и той же БД.
А недостатки?
- Необходимость изучения новой технологии. WCF довольно мощное средство и для эффективного использования придется погрузиться немного глубже примеров кода на MSDN и решений на SO, но для быстрого старта хватит и этого.
- Дополнительные усилия на разработку публичного контракта и самого сервиса.
- Для добавления нового функционала в большинстве случаев потребуется вносить изменения в приложение и сервис одновременно, но тут как обычно все зависит от архитектуры, если архитектура нормальная, то сильной головной боли не будет.
- WCF имеет некоторые технологические ограничения, некоторые обойти можно, некоторые нет, в частности, будет сложно (но не невозможно) передать большие наборы данных возвращаемые запросом к базе.
- Любая дополнительная прослойка увеличивает время отклика, сложность системы и количество возможных ошибок, которые придется вылавливать и исправлять
app.config
вweb.config
. – VladD 3 ноя '16 в 11:57public
переменную вstatic
классе и пихну ее во всех участках кода где это необходимо... Потому что приведенные вами решение пичаль тоска.. – Winteriscoming 3 ноя '16 в 12:14