一个Winform数据库连接的安全问题

Question

数据库安全winform

Answer 1

沙发居然被广告抢了……
发现反编译程序似乎不能反编译到config配置文件，看来把加密后的字符串放在那里面最安全了。

Answer 2

这么晚了还在回复 
搜索了下以前很古老的帖，强调的都是中间层用来把业务逻辑从客户端层分离出来而增加客户端性能，这个我是知道的，至于中间层怎么增加安全方面我还是不太理解，客户层通过某种加密协议访问中间层，由中间层处理数据库数据，再返回数据给客户端层？
我手头上的大型进销存系统（深圳鸿新大真开发的）案例，他们直接把加密后的数据库密码放在客户端ini文件夹里，反编译客户端就能拿到解密过程，中间层应该是直接写在客户端里了，似乎都没考虑过这个安全方面的问题。

Answer 3

任何一个稍微正规一点的网络软件公司，都是要花费巨大的精力设计和开发应用服务器端系统。只有一些只会做办公室局域网内小OA程序的人才以为只要在winform程序里调用一下关系数据库的客户端驱动“就算是在c/s程序了”。

Answer 4

客户端是开放的，任何人都有可能进行逆向工程。但是服务器端是不开放的，除非派一个间谍打入开发团队，否则拿不到（编译过的）程序。你所谓的“几乎透明的”的代码来进行数据库操作，是指那些入门书上的一个个小例子吧？你通过淘宝网页，拿出淘宝网的所有服务器程序来我看看。 我的意思是因为网页代码是几乎透明的，并不是说数据库操作时几乎透明的，要是数据库操作都是透明的，我也早就连淘宝服务器而不是来这发帖了，就因为这样所以才不明白web是怎么处理数据连接安全的，密钥吗？按曹版说的，三层C/S 通过登陆中间层来操作数据库，这登陆中间层也是一个过程，怎么确保这个过程的安全？不也是要有连接代码吗？

Answer 5

你所谓的“大型”，可能是指罗列一大堆名词概念的那种软件。单凭什么“把数据库密码放在客户端ini文件中”这种东西，就知道这是什么层次的软件了！客户端跟服务器端按照正常的业务逻辑进行交互，跟数据库没有半毛钱关系。客户端可能弹出一个用户登录窗口，然后让用户输入用户名和密码（对于大型系统，可能还要用户输入“到底是哪个国家的哪一个服务器上的某个子系统”），然后客户端程序就可以获得一个会话授权编码。之后客户端发给服务器的各种（比如说200种以上）业务处理命令，就能够被服务器识别是哪一个会话所发出的。客户端程序设计，根本扯不上数据库问题。完全是根据应用服务器远程api的协议设计而设计的。

Answer 6

最简单的，客户端Winform调用WebService，让WebService和数据库打交道

Answer 7

你所谓的“大型”，可能是指罗列一大堆名词概念的那种软件。单凭什么“把数据库密码放在客户端ini文件中”这种东西，就知道这是什么层次的软件了！客户端跟服务器端按照正常的业务逻辑进行交互，跟数据库没有半毛钱关系。客户端可能弹出一个用户登录窗口，然后让用户输入用户名和密码（对于大型系统，可能还要用户输入“到底是哪个国家的哪一个服务器上的某个子系统”），然后客户端程序就可以获得一个会话授权编码。之后客户端发给服务器的各种（比如说200种以上）业务处理命令，就能够被服务器识别是哪一个会话所发出的。客户端程序设计，根本扯不上数据库问题。完全是根据应用服务器远程api的协议设计而设计的。屁民分不清大型的概念，受教了

Answer 8

      那对于webservice 的地址泄漏了。这个危险吗？
      这个问题 是不是说wcf比webservice安全？

Answer 9

你所谓的“大型”，可能是指罗列一大堆名词概念的那种软件。单凭什么“把数据库密码放在客户端ini文件中”这种东西，就知道这是什么层次的软件了！客户端跟服务器端按照正常的业务逻辑进行交互，跟数据库没有半毛钱关系。客户端可能弹出一个用户登录窗口，然后让用户输入用户名和密码（对于大型系统，可能还要用户输入“到底是哪个国家的哪一个服务器上的某个子系统”），然后客户端程序就可以获得一个会话授权编码。之后客户端发给服务器的各种（比如说200种以上）业务处理命令，就能够被服务器识别是哪一个会话所发出的。客户端程序设计，根本扯不上数据库问题。完全是根据应用服务器远程api的协议设计而设计的。  那对于webservice 的地址泄漏了。这个危险吗？
      这个问题 是不是说wcf比webservice安全？