ADO YAML流水线：如何基于变量值从变量组获取机密变量

在Azure DevOps流水线中，你尝试的"$( ${{ variableName }} )"嵌套语法无法生效，核心原因是表达式解析顺序冲突：${{ }}是编译时执行的表达式，$()是运行时的变量引用，嵌套写法会导致解析逻辑混乱。以下是两种可行的解决方案：

方法一：编译时直接引用变量（推荐） #

使用Azure DevOps编译时表达式${{ variables[variableName] }}直接获取变量值，无需嵌套运行时引用，这是最稳妥的方式：

parameters:
  - name: targetVariables
    type: object

jobs:
  - job: echo_secret_files
    displayName: 🗣️ Echo secret files
    steps:
      - checkout: none
      - bash: |
          echo "Echoing targetVariables into secrets/"
          echo "using targetVariables ${{ convertToJson(parameters.targetVariables) }}"
          mkdir -p ./secrets/
          echo $(shared-smtp-user)
        displayName: Display information about the secrets being used
      - ${{ each variableName in parameters.targetVariables }}:
          - bash: |
              echo "$SECRET_VALUE" > ./secrets/${{ variableName }}.txt
            env:
              SECRET_VALUE: ${{ variables[variableName] }} # 正确的编译时变量引用
            displayName: Generate file for ${{ variableName }}
      - bash: tree secrets/ -a
        displayName: Display the generated secrets

说明： #

• ${{ variables[variableName] }}会在流水线编译阶段直接替换为对应变量组中variableName的实际值，赋值给SECRET_VALUE环境变量。
• 对于秘密变量，Azure DevOps会自动屏蔽其日志输出，但写入文件的操作不受影响。
• 给echo的变量加双引号，避免变量值包含空格、特殊字符时出现格式问题。

方法二：单步骤批量处理（减少步骤数量） #

如果希望用单个bash步骤完成所有文件生成，可以利用bash的间接变量引用，结合Azure DevOps的变量注入规则：

parameters:
  - name: targetVariables
    type: object

jobs:
  - job: echo_secret_files
    displayName: 🗣️ Echo secret files
    steps:
      - checkout: none
      - bash: |
          echo "Echoing targetVariables into secrets/"
          echo "using targetVariables ${{ convertToJson(parameters.targetVariables) }}"
          mkdir -p ./secrets/
          
          # 遍历所有目标变量
          for var_name in $TARGET_VARIABLES
          do
              # 将变量名转为Azure DevOps环境变量格式（大写、横杠转下划线）
              env_var=$(echo "$var_name" | tr '-' '_' | tr '[:lower:]' '[:upper:]')
              # 间接引用环境变量并写入文件
              echo "${!env_var}" > "./secrets/$var_name.txt"
          done
        env:
          # 将参数中的变量列表转为空格分隔的字符串，传入bash
          TARGET_VARIABLES: ${{ join(' ', parameters.targetVariables) }}
        displayName: Generate all secret files
      - bash: tree secrets/ -a
        displayName: Display the generated secrets

注意事项： #

• Azure DevOps会将普通流水线变量自动转为大写、横杠替换为下划线的环境变量（如shared-smtp-user → SHARED_SMTP_USER），但秘密变量默认不会自动注入环境变量，如果处理的是秘密变量，建议优先使用方法一。

内容的提问来源于stack exchange，提问作者Krapp