Azure App Service部署Docker镜像时MAP_KEY环境变量无法读取的排查咨询

核心问题排查（先解决变量读取失败） #

• 确认Azure App Service应用设置配置：
  必须在配置>应用程序设置中添加MAP_KEY，注意变量名大小写完全匹配代码中的process.env.MAP_KEY。如果使用了部署槽，要勾选“部署槽位设置”避免槽位间配置覆盖。
• 修正Dockerfile的变量声明：
  你在第14行添加的ENV MAP_KEY只是声明变量，不会自动关联Azure的配置，反而可能干扰变量注入。直接删除这行，代码只需保留process.env.MAP_KEY的读取逻辑即可——Azure应用设置会自动注入到容器环境中，无需在Dockerfile额外声明。
• 验证容器内变量是否存在：
  通过Azure App Service的高级工具>SSH连接到容器，执行echo $MAP_KEY。如果输出为空，说明配置未生效；如果有值，检查代码是否在变量注入前就执行了读取逻辑（比如某些框架的初始化钩子过早触发）。

密钥安全管理方案（避免代码库暴露密钥） #

方案一：Azure Key Vault + App Service 应用设置（企业级推荐） #

• 将谷歌地图密钥存入Azure Key Vault，创建名为MAP_KEY的机密。
• 在App Service的身份>系统分配中启用系统身份，然后在Key Vault的访问策略中添加该身份，赋予“机密读取”权限。
• 回到App Service的配置>应用程序设置，新建设置：
  • 名称：MAP_KEY
  • 值：@Microsoft.KeyVault(VaultName=你的KeyVault名称;SecretName=MAP_KEY)
    这样App Service会自动从Key Vault拉取密钥，全程无明文暴露。

方案二：GitHub Secrets + GitHub Actions 部署 #

• 在GitHub仓库的Settings>Secrets and variables>Actions中添加AZURE_MAP_KEY，值为你的谷歌地图密钥。
• 修改GitHub Actions部署Workflow，在azure/webapps-deploy步骤中传递密钥到App Service应用设置：

  - name: 部署到Azure App Service
    uses: azure/webapps-deploy@v2
    with:
      app-name: aigentyportal
      publish-profile: ${{ secrets.AZURE_WEBAPP_PUBLISH_PROFILE }}
      app-settings: |
        MAP_KEY=${{ secrets.AZURE_MAP_KEY }}
  

  每次部署时，GitHub Actions会自动将Secret值设置到Azure应用设置中，不会泄露到代码或镜像里。

额外注意事项 #

• 绝对不要在Dockerfile中写ENV MAP_KEY=xxx，这会把密钥打包进镜像，存在泄露风险。
• 部署后务必重启App Service，部分场景下环境变量需要几分钟缓存刷新才能生效。
• 若使用多阶段构建，确保最终镜像不包含任何密钥相关的临时文件或配置。

内容的提问来源于stack exchange，提问作者Mike Bely