一个棘手的问题，关于xml文件的安全性问题

系统有些配置需用xml文件来保存，不同用户使用不同的xml文件，但文件涉及一些需要保密的数据，如何控制只有属于指定用户的xml文件才能输出（包括直接在浏览器里键入xml文件名）。我现在的办法是随机生成一个文件名，文件名保存在数据库里，用户登录后就从数据库中取出文件名。不知道大家有没有更好的办法？

5 个解决方案

#1

需要保密的数据为什么不保存在数据库中呢？

#2

对数据加密行吗，

#3

to webdiyer(webdiyer):
由于是配置文件，需要高度的动态化，比如有些参数需要有下级参数，参数名和相关内容都要求可以*替换并能随时反映到程序中去，用数据库保存即使能实现也非常复杂。
to Alain_Delone(阿龙):
请说说你的大致思路。谢谢。

#4

用 windows登陆验证，使用户不能浏览xml文件的目录

#5

1、建一个页面来操作xml文件，并将其放在一个单独的文件夹中，比如data。包括对其进行添、删、改。
2、设置xml的安全性。将安全属性中的所有用户均删除，添加 aspnet的用户并赋予它读、写权限，注意别设为隐藏。
3、在data文件夹中建一个web.config文件，在文件中设置为form验证，可参看：http://expert.csdn.net/Expert/topic/1406/1406916.xml?temp=.3462641;
4、这样，用户即使知道xml文件的路径，也无法通过ie 来访问，所以需要一
个单独的页面来管理此文件，因为data文件夹设置了form验证，所以只有有权限的用户才能对它进行管理，当然也包括查看它的内容，只是看你采取什么方式将它还原而已。我觉得用这种方式做管理页面挺好，程序相对独立，不依赖数据库。