Azure DevOps Pipeline：动态匹配变量组中文件名对应的密码变量

问题背景 #

在Azure DevOps YAML管道的Bash脚本中，需要批量解压文件，其中部分文件受密码保护。已创建变量组，以受保护的文件名为密钥，对应的密码为机密值，希望遍历文件时自动匹配对应密码，避免硬编码。

现有代码问题 #

原脚本中尝试动态构造$(test.zip)形式的变量引用，但Azure DevOps的变量替换是在脚本执行前完成的，这种动态构造的字符串无法被解析为实际的密码值，导致解压失败。

解决方案 #

利用Azure DevOps的特性：所有管道变量（包括变量组的机密）会被自动注入为环境变量，变量名中的特殊字符（如.、-）会被替换为下划线，且转为大写。通过Bash的间接引用语法动态获取对应环境变量的值。

修改后的管道代码 #

- task: Bash@3
  inputs:
    targetType: 'inline'
    script: |
      file_dir="some_dir"
      
      if [ -d "$file_dir" ]; then
        echo "Listing files in $file_dir:"
      
        for file in "$file_dir"/*; do
          if [ -f "$file" ]; then
            # 提取文件名（去掉路径）
            filename=$(basename "$file")
            # 将文件名转换为符合环境变量的命名规则：特殊字符转下划线，大写
            env_var=$(echo "$filename" | tr '.-' '__' | tr '[:lower:]' '[:upper:]')
            # 间接引用获取环境变量值（即变量组中的密码）
            password="${!env_var}"
            
            if [ -n "$password" ]; then
              echo "解压受密码保护的文件: $filename"
              unzip -P "$password" "$file" -d .
            else
              echo "解压无密码文件: $filename"
              unzip "$file" -d .
            fi
          fi
        done
      fi

关键说明 #

• 变量组配置：确保变量组的密钥是准确的文件名（例如test.zip），不能包含路径
• 环境变量转换规则：Azure DevOps会将变量名test.zip转换为TEST_ZIP作为环境变量名，脚本中通过tr命令完成相同的转换，保证能匹配到对应的环境变量
• 机密变量处理：变量组中的机密值会被自动注入为环境变量，无需额外配置，且Bash中引用时不会泄露明文

内容的提问来源于stack exchange，提问作者flankers33