Azure DevOps Pipeline：如何基于前置任务变量设置环境变量

我需要通过AzureCLI任务导出服务主体的凭证（OIDC令牌或客户端密钥，二者只会存在一个），任务配置如下：

- task: AzureCLI@2
  displayName: "Export Service Principal credentials"
  inputs:
    scriptType: bash
    scriptLocation: inlineScript
    connectedServiceNameARM: ${{ parameters.serviceConnection }}
    addSpnToEnvironment: true
    inlineScript: |
      if [[ -n "$idToken" ]]; then
        echo "##vso[task.setvariable variable=ARM_OIDC_TOKEN;issecret=true]${idToken}"
      fi

      if [[ -n "$servicePrincipalKey" ]]; then
        echo "##vso[task.setvariable variable=ARM_CLIENT_SECRET;issecret=true]${servicePrincipalKey}"
      fi

后续我想根据这些变量是否被实际设置来使用它们，但尝试了两种方式都有问题：

1. 使用运行时表达式映射环境变量时，未设置的变量会保留表达式原字符串：

- bash: |
    echo $TEST_OIDC # 输出 $[variables.ARM_OIDC_TOKEN]
    echo $TEST_SECRET # 输出 $[variables.ARM_CLIENT_SECRET]
  env:
    TEST_OIDC: $[variables.ARM_OIDC_TOKEN]
    TEST_SECRET: $[variables.ARM_CLIENT_SECRET]

2. 使用宏表达式时，未设置的变量会被保留为$(VAR_NAME)字符串，而非空值：

- bash: |
    echo $TEST_OIDC # 输出 ***（正确）
    echo $TEST_SECRET # 输出 $(ARM_CLIENT_SECRET)（不符合预期）
  env:
    TEST_OIDC: $(ARM_OIDC_TOKEN)
    TEST_SECRET: $(ARM_CLIENT_SECRET)

目前只能通过繁琐的字符串判断来规避问题：

- bash: |
    if [[ -n "$TEST_OIDC" && "$TEST_OIDC" != '$(''ARM_OIDC_TOKEN)' ]]; then # 用''转义避免变量展开
      echo $TEST_OIDC # 输出 ***
    fi 
    if [[ -n "$TEST_SECRET" && "$TEST_SECRET" != '$(''ARM_CLIENT_SECRET)' ]]; then
      echo $TEST_SECRET # 按预期无输出
    fi
  env:
    TEST_OIDC: $(ARM_OIDC_TOKEN)
    TEST_SECRET: $(ARM_CLIENT_SECRET)

请问如何正确实现基于前置任务设置的变量来配置环境变量，避免上述问题？

方法一：前置任务统一设置变量（空值设为空字符串） #

修改AzureCLI任务的脚本，不管idToken或servicePrincipalKey是否存在，都设置对应的管道变量，不存在时赋值为空字符串。这样后续使用宏表达式时，未赋值的变量会被替换为空，而非原表达式字符串：

- task: AzureCLI@2
  displayName: "Export Service Principal credentials"
  inputs:
    scriptType: bash
    scriptLocation: inlineScript
    connectedServiceNameARM: ${{ parameters.serviceConnection }}
    addSpnToEnvironment: true
    inlineScript: |
      # 使用bash参数展开，变量不存在时设为空字符串
      echo "##vso[task.setvariable variable=ARM_OIDC_TOKEN;issecret=true]${idToken:-}"
      echo "##vso[task.setvariable variable=ARM_CLIENT_SECRET;issecret=true]${servicePrincipalKey:-}"

后续任务直接使用宏表达式映射环境变量，此时未设置的变量会是空字符串，无需额外判断：

- bash: |
    if [[ -n "$TEST_OIDC" ]]; then
      echo "OIDC令牌已设置"
    fi
    if [[ -n "$TEST_SECRET" ]]; then
      echo "客户端密钥已设置"
    fi
  env:
    TEST_OIDC: $(ARM_OIDC_TOKEN)
    TEST_SECRET: $(ARM_CLIENT_SECRET)

方法二：使用运行时表达式判断变量是否存在 #

在后续任务的环境变量映射中，用Azure Pipelines的运行时表达式判断变量是否存在，不存在则赋值为空字符串：

- bash: |
    if [[ -n "$TEST_OIDC" ]]; then
      echo "OIDC令牌已设置"
    fi
    if [[ -n "$TEST_SECRET" ]]; then
      echo "客户端密钥已设置"
    fi
  env:
    TEST_OIDC: $[ if(variables.exists('ARM_OIDC_TOKEN')) variables.ARM_OIDC_TOKEN else '' ]
    TEST_SECRET: $[ if(variables.exists('ARM_CLIENT_SECRET')) variables.ARM_CLIENT_SECRET else '' ]

这种方式无需修改前置任务，直接在后续任务中通过表达式动态处理变量赋值，未设置的变量会被转为空字符串，避免出现原表达式残留的问题。

内容的提问来源于stack exchange，提问作者Przemysław Szypowicz