EF Core+Azure函数：如何从Key Vault获取证书验证数据库连接串？

一、用托管标识从Key Vault拿证书 #

• 给你的Azure函数开启系统托管标识，然后在Key Vault的访问策略里给这个标识添加「证书获取」权限。
• 借助Azure.Security.KeyVault.Certificates库读取证书，导出字节流后存到函数的临时目录（无需担心路径问题，临时目录由系统自动分配）：

var certClient = new CertificateClient(new Uri("https://你的密钥保管库名称.vault.azure.net/"), new DefaultAzureCredential());
var keyVaultCert = await certClient.GetCertificateAsync("你的证书名称");
// 导出带私钥的证书字节流（若证书有密码，需额外处理）
var pfxBytes = keyVaultCert.SecretValue.Value;
// 生成唯一临时文件路径
var tempCertPath = Path.Combine(Path.GetTempPath(), Guid.NewGuid().ToString() + ".pfx");
await File.WriteAllBytesAsync(tempCertPath, pfxBytes);

二、正确构建数据库连接串 #

别手动硬拼连接串，用SqlConnectionStringBuilder来构建，既不容易出错，还能自动处理格式：

var connBuilder = new SqlConnectionStringBuilder
{
    DataSource = "**.database.azure.com",
    InitialCatalog = "dbheat",
    UserID = "你的数据库用户名",
    Password = "你的数据库密码",
    SslMode = SqlSslMode.VerifyCA,
    SslCert = tempCertPath // 填入刚才生成的临时证书路径
};
string finalConnStr = connBuilder.ToString();

三、解决「The collection already contains item with the same key 'net.transport'」错误 #

这个错误基本是重复配置EF Core数据库上下文导致的，检查以下几点：

• 确保Program.cs里只注册一次你的DbContext，不要多次调用AddDbContext或UseSqlServer。
• 不要同时在DbContext的OnConfiguring方法和依赖注入中配置连接选项，统一放在Program.cs里：

builder.Services.AddDbContext<你的DbContext类>(options =>
{
    options.UseSqlServer(finalConnStr);
});

• 如果使用了第三方扩展包，检查是否是这些包重复添加了传输相关的服务配置。

四、可选优化：跳过临时文件 #

部分数据库驱动支持从内存加载证书，但SQL Server官方驱动通常仍需要文件路径，所以临时文件是最稳妥的方案——函数运行结束后，临时文件会被系统自动清理，无需手动删除。

内容的提问来源于stack exchange，提问作者Jason_Hough