如何在Azure Pipeline PowerShell任务的Condition中访问安全变量

问题核心 #

你的PowerShell任务Condition不生效的原因有两个：

1. 语法错误：Condition的括号位置错误，正确写法应该是contains("$env:MY_MAPPED_SEC", 'must-contain')，但这只是表层问题。
2. 时机问题：Azure DevOps的任务Condition是在**任务初始化阶段（执行前）**评估的，此时任务的env变量还未被注入，且Azure Key Vault的秘密是运行时动态获取的，无法在Condition阶段直接通过$env:MY_MAPPED_SEC拿到有效值。

可行解决方案 #

方案一：将判断逻辑移入PowerShell脚本内部 #

放弃任务级别的Condition，把关键词判断放到脚本里直接控制执行逻辑，这是最直接的解决方式：

- task: PowerShell@2
  continueOnError: true
  inputs:
    targetType: 'inline'
    script: |
      # 直接在脚本内判断秘密内容
      if ($env:MY_MAPPED_SEC -match 'must-contain') {
        echo "Do Something with $env:MY_MAPPED_SEC"
      } else {
        echo "Secret不含指定关键词，跳过操作"
      }
    env:
      MY_MAPPED_SEC: $(${{ variables.DefaultConnection }})

方案二：通过管道变量实现任务级Condition判断 #

如果必须用任务级别的Condition控制任务是否执行，需要先将秘密值存入一个输出型管道变量，再在后续任务中引用这个变量做判断：

# 第一步：获取秘密并写入管道变量
- task: PowerShell@2
  name: GetSecret
  inputs:
    targetType: 'inline'
    script: |
      # 将秘密值写入输出变量，供后续任务调用
      Write-Host "##vso[task.setvariable variable=SecretContent;isOutput=true]$env:MY_MAPPED_SEC"
    env:
      MY_MAPPED_SEC: $(${{ variables.DefaultConnection }})

# 第二步：用管道变量做Condition判断
- task: PowerShell@2
  condition: contains(dependencies.GetSecret.outputs['SecretContent'], 'must-contain')
  continueOnError: true
  inputs:
    targetType: 'inline'
    script: |
      echo "Do Something with $(GetSecret.SecretContent)"

原理说明 #

Azure DevOps的任务Condition是由服务器在任务启动前预评估的，此时任务的环境变量、运行时注入的Key Vault秘密都还未加载，因此无法直接引用。而管道变量是在前置任务执行完成后写入的，后续任务可以通过依赖关系获取到这个变量的有效值，从而实现条件判断。

内容的提问来源于stack exchange，提问作者user26955403