Azure DevOps中Flyway连接Snowflake时RSA密钥获取失败问题

问题场景 #

在Azure DevOps部署流水线中，使用Flyway操作Snowflake时，尝试用RSA认证替代密码登录。硬编码RSA私钥时功能正常，但从变量库读取私钥时出现两个问题：

1. 打印变量值无输出
2. 抛出错误：

Message : Private key provided is invalid or not supported: Use java.security.interfaces.RSAPrivateCrtKey.class for the private key
Caused by: net.snowflake.client.jdbc.SnowflakeSQLLoggedException: Private key provided is invalid or not supported: Use java.security.interfaces.RSAPrivateCrtKey.class for the private key

对应的流水线配置代码如下：

jobs:
  - deployment: deployUat
    timeoutInMinutes: 120
    variables: 
      private_key: $(UAT_SF_PRIVATE_KEY_test)
    pool: 
      vmImage: 'windows-latest'
    environment: "$(System.TeamProject)-uat"
    strategy:
      runOnce:
        deploy:
          steps:
          - task: PowerShell@2
            displayName: 'Clear Flyway Working Directory'
            inputs:
              targetType: 'inline'
              script: |
                Get-ChildItem -Path "$(Pipeline.Workspace)" -Directory -Recurse -Force | 
                Where-Object { $_.Name -like "*.flyway*" } | 
                Remove-Item -Recurse -Force -Verbose
                
          - task: PowerShell@2
            displayName: "Format Private Key"
            name: setPrivateKey  
            inputs:
              targetType: inline
              script: |
                $formattedKey = "$(UAT_SF_PRIVATE_KEY_test)" -replace "@", "`n"
                Write-Host "##vso[task.setvariable variable=formattedKey;isOutput=true]$formattedKey"
                Write-Host "Formatted key value stored"
                
          - task: PowerShell@2
            displayName: Get JDBC URL
            inputs:
              targetType: 'inline'
              script: |
                Write-Host "Formatted key value: $(setPrivateKey.formattedKey)"
                $jdbcUrl = "jdbc:snowflake://xx.xx-europe.azure.snowflakecomputing.com/?warehouse=$(UAT_SF_WAREHOUSE)&role=$(UAT_SF_ROLE)&db=UAT_$(SF_DATABASE)&authenticator=snowflake_jwt"
                Write-Host "Generated JDBC URL: $jdbcUrl"
                Write-Host "##vso[task.setvariable variable=jdbcUrl;isOutput=true]$jdbcUrl"
            name: property

问题原因 #

1. 变量库存储格式问题：RSA私钥包含换行符，Azure DevOps变量库直接存储带换行的内容会丢失格式，导致私钥结构损坏，无法被解析为RSAPrivateCrtKey类型。
2. 变量传递转义问题：PowerShell处理变量时的转义逻辑可能篡改私钥内容，输出到后续步骤时丢失关键字符。

解决步骤 #

1. 正确存储私钥到变量库 #

将RSA私钥的换行符替换为特定占位符（比如@），转为单行文本存储。例如原私钥：

-----BEGIN RSA PRIVATE KEY-----
MIIEpAIBAAKCAQEAz...
...
-----END RSA PRIVATE KEY-----

替换为：
-----BEGIN RSA PRIVATE KEY-----@MIIEpAIBAAKCAQEAz...@...@-----END RSA PRIVATE KEY-----

2. 修正私钥格式化脚本 #

更新PowerShell步骤，确保换行符正确替换，同时标记变量为机密避免泄露：

$rawKey = "$(UAT_SF_PRIVATE_KEY_test)"
# 适配Windows环境换行符
$formattedKey = $rawKey -replace "@", "`r`n"
# 标记为机密变量，保证传递完整性与安全性
Write-Host "##vso[task.setvariable variable=formattedKey;isOutput=true;issecret=true]$formattedKey"
Write-Host "Formatted key value stored"

3. 安全验证私钥格式 #

调试时可打印私钥首尾部分确认格式，避免泄露完整内容：

$key = "$(setPrivateKey.formattedKey)"
Write-Host "Key starts with: $($key.Substring(0,30))"
Write-Host "Key ends with: $($key.Substring($key.Length-30))"

4. Flyway配置适配 #

通过环境变量或配置文件传递格式化后的私钥，确保Flyway直接使用原始内容：

• 环境变量方式：

Write-Host "##vso[task.setvariable variable=FLYWAY_PRIVATE_KEY;issecret=true]$formattedKey"

• 配置文件方式：

flyway.privateKey=$(formattedKey)

关键注意事项 #

• 私钥必须标记为Azure DevOps机密变量，禁止在日志中暴露。
• 根据虚拟机环境选择换行符：Windows用\r\n，Linux用\n。
• 确保使用的是标准RSAPrivateCrtKey类型的RSA私钥，避免非标准格式。

内容的提问来源于stack exchange，提问作者DatagGirl