如何用Azure Key Vault值替换ASP.NET Core Web API多环境配置文件密码？

一、自动映射的核心逻辑 #

Azure Key Vault的密钥命名规则里，用--分隔的名称会自动对应配置的层级结构。你存的database--password，刚好匹配配置里的database.password路径，这一步是自动完成的，不用额外写映射代码。

二、调整配置加载顺序（关键） #

要让Key Vault的配置覆盖本地appsettings的值，必须把AddAzureKeyVault放在本地配置加载之后。示例代码：

var builder = WebApplication.CreateBuilder(args);

// 先加载本地环境配置文件
builder.Configuration
    .AddJsonFile("appsettings.json", optional: false, reloadOnChange: true)
    .AddJsonFile($"appsettings.{builder.Environment.EnvironmentName}.json", optional: true)
    .AddEnvironmentVariables();

// 再添加Azure Key Vault，让它的配置覆盖本地值
builder.Configuration.AddAzureKeyVault(
    new Uri("你的Key Vault URI"),
    new DefaultAzureCredential());

// 正常构建应用
var app = builder.Build();
// ...其他业务代码

这样程序启动后，Key Vault里的密码会自动替换本地appsettings中database.password的占位值，代码直接调用配置就能拿到正确值。

三、代码中调用配置的两种方式 #

方式1：用IOptions绑定（推荐） #

1. 先定义配置类：

public class DatabaseSettings
{
    public string Password { get; set; }
}

2. 在Program.cs里注册配置绑定：

builder.Services.Configure<DatabaseSettings>(builder.Configuration.GetSection("database"));

3. 在服务或控制器中注入使用：

public class YourService
{
    private readonly DatabaseSettings _dbSettings;

    public YourService(IOptions<DatabaseSettings> dbSettings)
    {
        _dbSettings = dbSettings.Value;
        // 直接用 _dbSettings.Password 就是Key Vault里的密码
    }
}

方式2：直接读取IConfiguration #

在需要的地方注入IConfiguration：

public class YourController : ControllerBase
{
    private readonly IConfiguration _config;

    public YourController(IConfiguration config)
    {
        _config = config;
    }

    public IActionResult SomeAction()
    {
        var dbPassword = _config["database:password"];
        // 使用这个密码即可
        return Ok();
    }
}

四、注意事项 #

• 不用手动修改appsettings.json文件，Key Vault的配置是运行时动态覆盖本地值的，本地文件里留个占位符（比如"**password_from_azure**"）就行，不影响实际取值。
• 必须确保你的应用服务有访问Azure Key Vault的权限，比如给应用分配了Key Vault Secrets User角色，不然会拿不到密钥。

内容的提问来源于stack exchange，提问作者Balaji Sundaram