如何在Azure Pipelines模板中禁止PreDeploy阶段使用Secrets变量组？

我创建了一个可扩展的Azure Pipelines YAML模板，包含固定不可修改的Deploy阶段（仅允许传递参数），以及可选的PreDeploy阶段（需模板用户自行定义实现）。模板代码如下：

parameters:
- name: application
  type: string
  default: ""
- name: PreDeployStage
  type: stage
  default: 
     stage: 
     jobs:
     - job: 

stages:
- ${{ parameters.PreDeployStage }}
- stage: 'Deploy'

使用该模板的流水线示例如下：

# azure-pipelines.yml
resources:
repositories:
- repository: temp
type: git
name: templates
ref: refs/heads/main
extends:
template: template.yml@temp
parameters:
Application: APP
PreDeployStage:
  stage: Custom
  jobs:
  - job: StoleSecrets
    variables:
      - group: Secrets
    pool: default
    steps:
      - task: Whatever task which access to the vars stored in Secrets 

存在一个名为Secrets的变量组，仅允许在Deploy阶段使用。我希望禁止模板用户在PreDeploy阶段（阶段或作业级别）引用该变量组，曾参考Azure DevOps官方文档的模板语法限制方案（思路是删除传入阶段中Secrets变量组的所有引用），但尝试后在步骤环节出现验证错误：保存时触发步骤验证失败，替换为具体任务则可正常通过验证。请问是否可实现该需求？

可以实现该需求，推荐结合模板表达式过滤和权限控制的方式，具体如下：

1. 模板层过滤Secrets变量组引用 #

修改模板代码，通过表达式遍历PreDeployStage的所有作业，移除其中引用Secrets变量组的配置，同时保证生成的YAML结构合法：

parameters:
- name: application
  type: string
  default: ""
- name: PreDeployStage
  type: stage
  default: 
     stage: 
     jobs:
     - job: 

stages:
- ${{ if ne(parameters.PreDeployStage.stage, '') }}:
  - stage: ${{ parameters.PreDeployStage.stage }}
    # 过滤阶段级变量中的Secrets组
    ${{ if parameters.PreDeployStage.variables }}:
      variables:
        ${{ each var in parameters.PreDeployStage.variables }}:
          ${{ if not(contains(var.group, 'Secrets')) }}:
            ${{ var }}
    jobs:
      ${{ each job in parameters.PreDeployStage.jobs }}:
        - job: ${{ job.job }}
          # 过滤作业级变量中的Secrets组
          ${{ if job.variables }}:
            variables:
              ${{ each var in job.variables }}:
                ${{ if not(contains(var.group, 'Secrets')) }}:
                  ${{ var }}
          ${{ if job.pool }}:
            pool: ${{ job.pool }}
          steps: ${{ job.steps }}
- stage: 'Deploy'

这个修改会：

• 自动遍历PreDeploy阶段的阶段级、作业级变量配置
• 剔除所有引用Secrets变量组的条目
• 保留其他变量、作业配置的完整性，避免生成无效YAML结构

2. 补充权限控制加固 #

仅靠模板过滤存在被绕过的风险（比如用户通过脚本动态尝试获取变量），建议配合Azure DevOps的权限设置：

• 给Secrets变量组设置权限，仅允许Deploy阶段使用的服务主体/用户组访问
• 限制PreDeploy阶段使用的执行身份（比如专用的低权限服务连接），使其无权限读取Secrets变量组

关于步骤验证错误的说明 #

之前出现的步骤验证失败，大概率是因为模板表达式处理后生成了不合法的YAML结构（比如空变量块、未正确保留步骤节点）。上面的模板代码通过显式判断variables、pool等节点是否存在，避免生成无效代码，可解决验证问题。

内容的提问来源于stack exchange，提问作者Josto