ASP.NET Core Web API在CI/CD中加载本地密钥文件失败的解决方案咨询

密钥管理方案本身没问题 #

本地使用未提交到仓库的appsecrets.json管理敏感密钥是合理的实践，既避免了敏感信息泄露，也适配本地开发的便捷性需求。问题出在CI/CD环境的配置适配环节，而非方案本身。

可行的解决方案 #

1. 通过GitHub Secrets注入配置，重写WebApplicationFactory提供密钥 #

既然只能重写WebApplicationFactory，可以在测试项目中通过它注入内存配置，替代本地密钥文件的作用：

public class CustomWebApplicationFactory<TProgram> : WebApplicationFactory<TProgram> where TProgram : class
{
    protected override void ConfigureWebHost(IWebHostBuilder builder)
    {
        builder.ConfigureAppConfiguration((context, config) =>
        {
            // 从GitHub Secrets注入的环境变量中读取测试用密钥
            var testSecrets = new Dictionary<string, string>
            {
                { "SecretKey1", Environment.GetEnvironmentVariable("TEST_SECRET_KEY1") },
                { "SecretKey2", Environment.GetEnvironmentVariable("TEST_SECRET_KEY2") }
                // 按需添加所有测试所需的密钥项
            };

            // 添加内存配置，优先级高于本地文件配置
            config.AddInMemoryCollection(testSecrets);
        });
    }
}

同时在GitHub Actions工作流文件中，将Secrets作为环境变量传入测试步骤：

jobs:
  test:
    runs-on: ubuntu-latest
    steps:
      - name: 运行集成测试
        env:
          TEST_SECRET_KEY1: ${{ secrets.TEST_SECRET_KEY1 }}
          TEST_SECRET_KEY2: ${{ secrets.TEST_SECRET_KEY2 }}
        run: dotnet test --configuration Release

2. 优雅判断测试环境，跳过本地密钥文件加载 #

通过环境名称或程序集特征判断是否处于测试环境，避免在CI中加载不存在的文件：

public static void AddSecrets(this IServiceCollection services,
    ConfigurationManager config, IWebHostEnvironment environment)
{
    // 判断是否为测试环境（可根据实际测试环境名称或程序集特征调整）
    var isTestEnvironment = environment.EnvironmentName.Equals("Test", StringComparison.OrdinalIgnoreCase) ||
                            Assembly.GetEntryAssembly()?.GetName().Name?.Contains("Tests") == true;

    if (!isTestEnvironment)
    {
        config.AddJsonFile("appsecrets.json");
        config.AddJsonFile($"appsecrets.{environment.EnvironmentName}.json");
    }
}

这种方式既不影响本地开发的强制密钥要求，也能在测试环境中跳过文件加载，配合测试项目的配置提供密钥。

3. 结合optional: true与配置优先级 #

设置文件加载为可选，但确保非本地环境有更高优先级的配置源（如环境变量、云密钥管理服务）提供密钥：

public static void AddSecrets(this IServiceCollection services,
    ConfigurationManager config, IWebHostEnvironment environment)
{
    // 本地开发时文件必须存在，CI/生产环境通过其他配置源提供密钥
    var isDevelopment = environment.IsDevelopment();
    config.AddJsonFile("appsecrets.json", optional: !isDevelopment);
    config.AddJsonFile($"appsecrets.{environment.EnvironmentName}.json", optional: !isDevelopment);
    
    // 添加环境变量配置源，优先级高于本地文件，确保CI/生产环境的密钥能覆盖或补充
    config.AddEnvironmentVariables();
}

本地开发时如果缺少密钥文件会报错，符合启动要求；CI环境中通过GitHub Secrets注入的环境变量提供密钥，不会因文件缺失报错。

内容的提问来源于stack exchange，提问作者Mohab Alnajjar