В чем разница между интегрированной безопасностью = True и интегрированной безопасностью = SSPI?

У меня есть два приложения, которые используют встроенную безопасность. Один назначает Integrated Security = trueв строке подключения, а другой устанавливает Integrated Security = SSPI.

В чем разница между SSPIи trueв контексте интегрированной безопасности?

По словам Microsoft , это одно и то же.

Когда falseидентификатор пользователя и пароль указаны в соединении. При значении true для проверки подлинности используются учетные данные текущей учетной записи Windows.
Признанные значения true, false, yes, no, и sspi(настоятельно рекомендуется), что эквивалентно true.

Integrated Security=true;не работает во всех провайдерах SQL, он генерирует исключение при использовании с OleDbпровайдером.

Так что в основном Integrated Security=SSPI;предпочтительнее, так как работает как с поставщиком, так SQLClientи с OleDBпоставщиком.

Вот полный набор синтаксисов в соответствии с MSDN - Синтаксис строки подключения (ADO.NET)

Использование аутентификации Windows

Для подключения к серверу базы данных рекомендуется использовать проверку подлинности Windows, широко известную как встроенная защита. Чтобы указать аутентификацию Windows, вы можете использовать любую из следующих двух пар ключ-значение с поставщиком данных. NET Framework для SQL Server:

 Integrated Security = true;
 Integrated Security = SSPI;

Однако только второй работает с поставщиком данных .NET Framework OleDb . Если вы установили Integrated Security = trueConnectionString, выдается исключение.

Чтобы указать проверку подлинности Windows в поставщике данных. NET Framework для ODBC, вы должны использовать следующую пару ключ-значение.

Trusted_Connection = yes;

Источник: MSDN: Работа со строками подключения

Многие вопросы получают ответы, если мы используем, .Net Reflectorчтобы увидеть фактический код SqlConnection:) trueи sspiодинаковы:

internal class DbConnectionOptions

...

internal bool ConvertValueToIntegratedSecurityInternal(string stringValue)
{
    if ((CompareInsensitiveInvariant(stringValue, "sspi") || CompareInsensitiveInvariant(stringValue, "true")) || CompareInsensitiveInvariant(stringValue, "yes"))
    {
        return true;
    }
}

...

РЕДАКТИРОВАТЬ 20.02.2018 Теперь в .Net Core мы можем увидеть его с открытым исходным кодом на GitHub! Найдите метод ConvertValueToIntegratedSecurityInternal:

https://github.com/dotnet/corefx/blob/fdbb160aeb0fad168b3603dbdd971d568151a0c8/src/System.Data.SqlClient/src/System/Data/Common/DbConnectionOptions.cs

Integrated Security = False: идентификатор пользователя и пароль указываются в соединении. Integrated Security = true: для аутентификации используются текущие учетные данные Windows.

Комплексная безопасность = SSPI: это эквивалентно истине.

Мы можем избежать атрибутов имени пользователя и пароля из строки подключения и использовать встроенную защиту

Позвольте мне начать с Integrated Security = false

false Идентификатор пользователя и пароль указываются в строке подключения.
true Учетные данные Windows используются для аутентификации.

Признанные значения true, false, yes, no, и SSPI.

Если User IDи Passwordуказаны, и для Integrated Security установлено значение true, тогда User IDи Passwordбудут игнорироваться, и будет использоваться Integrated Security.

Обратите внимание, что строки подключения зависят от того, что и как вы подключаетесь к данным. Они подключаются к одной и той же базе данных, но первый использует поставщик данных .NET Framework для SQL Server. Integrated Security = True не будет работать для OleDb.

• Источник данных =; Исходный каталог = aspnetdb; Интегрированная безопасность = True
• Поставщик = SQLOLEDB; Источник данных = .; Интегрированная безопасность = SSPI; Начальный каталог = aspnetdb

В случае сомнений используйте подключения к данным в Visual Studio Server Explorer.

• Что такое Sspi ?
• Синтаксис строк подключения

Значение true только в том случае, если вы используете библиотеку .NET SqlClient. Недействительно при использовании OLEDB. Где SSPI bvaid в обоих случаях вы используете библиотеку .net SqlClient или OLEDB.

С моей точки зрения,

Если вы не используете Integrated security = SSPI, то вам нужно жестко указать имя пользователя и пароль в строке подключения, что означает «относительно небезопасный», потому что, поскольку все сотрудники имеют доступ, даже бывший сотрудник мог использовать информацию злонамеренно.