Das du beleidigt bist wenn dir jemand wiederspricht solltest du mal überdenken.
Der TE fragte wie er verhindern kann das jemand an ein Passwort das in einer Anwendung steckt die er jemand anderem gibt herankommt und das geht nicht solange die Anwendung das auch noch verwenden können soll.
Er kann nur versuchen das etwas schwieriger bzw. weniger offensichtlich zu machen, jemand mit ein bisschen Fachkenntnis kommt da aber trotzdem schnell dran. Natürlich ist es seine Entscheidung wie er es am Ende macht.
Ja, mit sehr viel weniger als du dir allerdings vorstellst. Im Notfall muss er das Programm einfach nur debuggen und sieht es dann.
Die Verfahren an die du wahrscheinlich denkst (wie das automatische verschlüsseln der web.config) machen das Ganze nur dadurch sicherer das das Ganze auf einem Server läuft auf dem die Berechtigungen gesetzt sind das nur vertrauenswürdige Leute auf entsprechende Resourcen zugreifen können.
Bei einem System das an einen potentiellen Angreifer ausgeliefert wird ist das aber nicht der Fall, bzw. falls doch kann er es einfach umstellen und hat dann alles zur verfügung was er braucht.
Wenn du nach meiner Aussage auch nur ein bisschen darüber nachgedacht hättest dann wäre dir aufgefallen das das nicht funktionieren kann.
So wen bringen solche Aussagen jetzt weiter?
Außerdem solltest du es vermeiden andere Aussagen als Müll, Stuss oder ähnliches zu bezeichnen.
Ich denke auch das das der Beste Weg sein wird. Dadurch stellst du zumindest schonmal sicher das niemand was auf der DB macht das du nicht über den Webservice gestattest (sofern du keine Lücke für SQL Injection oder sowas hast ) und kannst einfach bestimmte Clients sperren.