Azure DevOps含特殊字符密钥变量在PowerShell内联脚本中使用问题

在Azure DevOps流水线里用PowerShell调用Azure CLI时，带特殊字符的Key Vault密钥经常因为命令行解析问题报错，下面是几种实测有效的解决方法：

方法1：用PowerShell --% 停止解析符号绕过参数解析 #

--% 是PowerShell的特殊标记，会让后续的命令参数直接传递给外部程序（比如Azure CLI），跳过PowerShell自身的特殊字符解析。步骤如下：

1. 先把Key Vault变量赋值给PowerShell变量，再转成环境变量
2. 用--%标记后，用Windows风格的%变量名%引用环境变量（Linux代理下直接用$变量名）

示例代码：

# 将Key Vault变量存入环境变量
$env:SQL_ADMIN_PWD = "$(SqlAdminPassword)"

# 用--%跳过PowerShell解析，直接传递参数给az
az sql server update --% -n "my-sql-server" -g "my-resource-group" --admin-password %SQL_ADMIN_PWD%

方法2：用Start-Process传递参数数组 #

这种方法完全避免命令行拼接问题，把每个CLI参数拆成数组元素，Azure CLI会直接接收完整的参数值，不会解析特殊字符。

示例代码：

# 定义Azure CLI参数数组，每个参数单独作为元素
$azCommandArgs = @(
    "sql", "server", "update",
    "-n", "$(SQL_SERVER_NAME)",
    "-g", "$(RESOURCE_GROUP)",
    "--admin-password", "$(SqlAdminPassword)"
)

# 调用az命令，传递参数数组
Start-Process -FilePath "az" -ArgumentList $azCommandArgs -Wait -NoNewWindow -PassThru

说明：-Wait确保命令执行完成再继续，-NoNewWindow避免弹出新窗口，-PassThru返回进程对象方便排查错误。

方法3：在YAML中映射环境变量，直接引用 #

在流水线YAML里把Key Vault变量映射成系统环境变量，然后在PowerShell脚本中用$env:变量名引用，配合双引号包裹确保参数完整性。

YAML配置示例：

jobs:
- job: UpdateSQLAdminPassword
  variables:
  - group: KeyVault-Variable-Group # 已关联的Key Vault变量组
  # 把Key Vault变量映射为环境变量
  - name: AZURE_SQL_ADMIN_PWD
    value: $(SqlAdminPassword)
  steps:
  - task: PowerShell@2
    inputs:
      targetType: 'inline'
      script: |
        # 用环境变量传递密钥，双引号包裹确保特殊字符被正确识别
        az sql server update -n "$(SQL_SERVER_NAME)" -g "$(RESOURCE_GROUP)" --admin-password "$env:AZURE_SQL_ADMIN_PWD"

避坑提醒 #

• 不要用单引号包裹变量：PowerShell单引号会原样输出字符串，不会解析变量值
• 禁止直接在az命令中写$(SqlAdminPassword)：YAML预替换后，特殊字符会被PowerShell当成命令行元字符解析
• 若使用Linux代理，PowerShell中环境变量仍用$env:变量名，bash脚本才用$变量名

内容的提问来源于stack exchange，提问作者Joe Ricklefs