C#开发Azure Key Vault包装器：密钥存在校验与重复创建处理问询

用GetSecretPropertiesAsync实现无敏感数据的存在性检查 #

Azure Key Vault的SecretClient确实没有像Blob Storage那样直接的ExistsAsync方法，但可以通过获取密钥元数据来判断存在性，完全不需要下载敏感的密钥内容。具体实现如下：

public async Task<bool> SecretExistsAsync(SecretClient client, string secretName)
{
    try
    {
        await client.GetSecretPropertiesAsync(secretName);
        return true;
    }
    catch (RequestFailedException ex)
    {
        if (ex.Status == 404) // 密钥不存在时服务返回404状态码
        {
            return false;
        }
        throw; // 其他异常（如权限不足）正常抛出
    }
}

这个方法只会请求密钥的基础属性（名称、创建时间、过期时间等），不会返回密钥的实际值，完美规避了敏感数据的传输风险。

为什么没有原生的ExistsAsync方法？ #

不同Azure服务的SDK设计差异源于底层REST API的能力：

• Blob Storage的REST API原生支持HEAD请求来检查资源存在性，所以SDK直接封装了ExistsAsync方法。
• Key Vault的REST API没有专门的HEAD接口用于密钥存在性检查，官方只能通过"获取属性+捕获404异常"的方式实现等效逻辑，这也是目前官方文档推荐的做法。

结合ActionIfExists的完整上传逻辑示例 #

基于上面的存在性检查，可以轻松实现你需要的同名密钥处理逻辑：

public enum ActionIfExists
{
    Fail,
    Rename,
    Overwrite
}

public async Task UploadSecretAsync(SecretClient client, string secretName, string secretValue, ActionIfExists action)
{
    bool secretExists = await SecretExistsAsync(client, secretName);

    if (!secretExists)
    {
        await client.SetSecretAsync(secretName, secretValue);
        return;
    }

    switch (action)
    {
        case ActionIfExists.Fail:
            throw new InvalidOperationException($"密钥 {secretName} 已存在");
        case ActionIfExists.Rename:
            // 示例：添加时间戳后缀实现重命名
            string newSecretName = $"{secretName}_{DateTime.UtcNow:yyyyMMddHHmmss}";
            await client.SetSecretAsync(newSecretName, secretValue);
            break;
        case ActionIfExists.Overwrite:
            await client.SetSecretAsync(secretName, secretValue);
            break;
    }
}

注意：存在性检查和上传是两个独立操作，高并发场景下可能出现竞态条件（检查时不存在，但上传前被其他线程创建）。如果需要强一致性，可结合Key Vault的版本机制或额外的分布式锁，但常规场景下上述逻辑足够使用。

内容的提问来源于stack exchange，提问作者LWChris