aspnet_regiis.exe仅支持web.config加密，对app.config完全无效，因其依赖ASP.NET管道和HttpRuntime自动解密机制，而WinForms/Console应用不触发该机制，强行加密会导致运行时ConfigurationErrorsException。
aspnet_regiis.exe 只能加密 web.config，对 app.config 完全无效——这是最常被忽略的前提。WinForms 或 Console 应用的 app.config 编译后变成 MyApp.exe.config，它不走 ASP.NET 管道，aspnet_regiis 根本识别不了。
aspnet_regiis.exe 为什么对 app.config 失效
ASP.NET 的受保护配置系统依赖于 System.Configuration 中的 ProtectedConfigurationProvider 实现，而该机制只在 web.config 加载时由 HttpRuntime 自动触发解密。WinForms/Console 应用调用 ConfigurationManager 读取 app.config 时，不会自动解密被 aspnet_regiis 加密的 section——哪怕你强行用它去加密，运行时也会抛出 ConfigurationErrorsException: Failed to decrypt using provider。
-
aspnet_regiis -pef "connectionStrings" .\对app.config执行后看似成功，但生成的加密 XML 在运行时无法还原 - 加密后的
<connectionStrings configProtectionProvider="DataProtectionConfigurationProvider">节，在非 Web 环境下没有对应 provider 注册 - 即使手动注册 provider（如
RSAProtectedConfigurationProvider），也需提前在app.config的<configProtectedData>节声明，且密钥容器必须存在、权限正确——实操中极易失败
真正可用的 app.config 连接字符串加密方案
WinForms/Console 场景下，唯一稳定可行的方式是：在程序启动早期手动解密并注入内存配置。不要试图修改 ConfigurationManager 内部结构或反射替换 provider。
- 把加密后的 Base64 字符串存进
appSettings（例如<add key="EncryptedConn" value="AQAAANCM..." />） - 用 AES 解密（密钥和 IV 必须来自环境变量或 Windows DPAPI，绝不能硬编码）
- 在
Program.Main()最开头，调用ConfigurationManager.OpenExeConfiguration获取配置对象，再用config.ConnectionStrings.ConnectionStrings["Default"].ConnectionString = decryptedValue赋值 - 最后调用
config.Save(ConfigurationSaveMode.Modified)并刷新ConfigurationManager.RefreshSection("connectionStrings")
注意：ConfigurationManager.ConnectionStrings 是只读集合，直接赋值会报错；必须通过底层 Configuration 对象操作原始 ConnectionStringsSection 实例。
Web.config 用 aspnet_regiis 加密的实操要点
如果你确实在 ASP.NET WebForms 或旧版 MVC 项目中用 web.config，aspnet_regiis 是可用的，但有硬性约束：
- 必须用与目标 IIS 应用池身份匹配的用户权限运行命令（否则密钥容器不可访问）
- 加密命令必须指定物理路径，例如：
aspnet_regiis -pe "connectionStrings" -app "/MyApp"或-pef "connectionStrings" "C:\inetpub\wwwroot\MyApp" - provider 名称必须是已注册的，常见为
DataProtectionConfigurationProvider（机器级）或RSAProtectedConfigurationProvider（可导出密钥） - 解密命令同样要带
-app或-pef，且路径必须与加密时一致，否则提示Section not found
加密后，IIS 会自动解密 ConfigurationManager.ConnectionStrings，代码无需改动——但前提是应用没迁移到 .NET Core/.NET 5+，后者完全弃用了这套机制。
.NET 6+ WinForms 项目怎么处理连接字符串
现代 WinForms（.NET 6+）默认使用 IConfigurationBuilder，不再依赖 ConfigurationManager。这时硬套 aspnet_regiis 或自定义 provider 已无意义。
- 改用
builder.Configuration.AddInMemoryCollection(new Dictionary<string, string> { ["ConnectionStrings:Default"] = decryptedValue })在Program.cs开头注入 - 密钥材料从
WindowsCredential、DPAPI或Environment.GetEnvironmentVariable获取，避免出现在代码或配置文件中 - 如果部署到企业环境，优先对接 Azure Key Vault：用
AddAzureKeyVault+ 托管标识，本地开发用UserSecretsId
最易被忽略的一点：哪怕你用 DPAPI 加密了 app.config 中的字符串，只要进程以相同用户身份运行，任何能调试该进程的工具（如 ProcMon、DebugDiag）都能在内存中抓到明文连接字符串——加密只是防文件窃取，不是防运行时泄露。
