.NET MAUI公共客户端应用注册Azure App配置最佳实践

AI 小北

2026-6-30

.NET MAUI公共客户端应用集成Azure App配置的最佳实践

问题背景

我之前主要做Web应用开发，Web端集成Azure App配置的流程比较简单，示例代码如下：

public static IHostBuilder CreateHostBuilder(string[] args) =>
    Host.CreateDefaultBuilder(args)
        .ConfigureWebHostDefaults(webBuilder =>
        {
            webBuilder.UseStartup<Startup>();
        }).ConfigureAppConfiguration((hostContext, builder) =>
        {
            if (hostContext.HostingEnvironment.IsDevelopment())
            {
                builder.AddUserSecrets("21450aac-9897-406f-a964-fe2551a10440");
            }
            var settings = builder.Build();
            var connectionAppConfig = settings["AppConfig"];
            if (!hostContext.HostingEnvironment.IsDevelopment())
            {
                connectionAppConfig = settings.GetConnectionString("AzureAppConfiguration");
            }
            builder.AddAzureAppConfiguration(options =>
            {
                options.Connect(connectionAppConfig)
                        .ConfigureKeyVault(kv =>
                        {
                            kv.SetCredential(new DefaultAzureCredential());
                        }).ConfigureRefresh(refreshOptions =>
                        {
                            refreshOptions.Register("ApiApp:IsMaintenance", true);
                            refreshOptions.SetCacheExpiration(TimeSpan.FromSeconds(60));
                        });
            });
        });

在Web场景中，开发环境的connectionAppConfig来自用户密钥，生产环境则从Azure获取。但现在我在开发非Azure托管的.NET MAUI移动应用，正在探索安全存储Azure App配置连接字符串的最佳实践。我知道可以用SecureStorage，但不确定是不是最优方案，而且就算用SecureStorage，我也不想把连接字符串硬编码在代码里，请问这种场景下该怎么处理？

我目前想到的SecureStorage用法是这样的，但显然硬编码值不可行：

SecureStorage.Default.SetAsync("AppConfig", "Endpoint=https:urltoazureappconfigwithsecret");
var appConfig = SecureStorage.Default.GetAsync("AppConfig");

解决方案与最佳实践

核心原则：避免硬编码敏感信息，优先用身份认证替代连接字符串

.NET MAUI作为客户端应用，和Web应用的托管环境差异很大，不能直接照搬Web的配置方式，核心要解决两个问题：敏感配置的安全存储和配置值的注入渠道。

1. 开发环境：用MAUI用户密钥或本地配置文件

和Web应用逻辑一致，开发阶段利用.NET MAUI的用户密钥（User Secrets）存储连接字符串，避免提交到代码仓库：

右键MAUI项目 → 管理用户密钥，打开secrets.json文件

添加配置项：

{
  "AzureAppConfigConnectionString": "你的开发环境连接字符串"
}

在MauiProgram.cs中读取配置：

var builder = MauiApp.CreateBuilder();
builder.Configuration.AddUserSecrets<App>();
var connectionString = builder.Configuration["AzureAppConfigConnectionString"];

2. 生产环境：用Azure AD身份认证替代连接字符串

绝对不推荐在客户端存储连接字符串（哪怕存入SecureStorage），因为连接字符串包含密钥，一旦泄露会导致Azure资源被滥用。更安全的方式是通过Azure AD身份认证访问Azure App配置：

在Azure门户中，给Azure App配置实例添加角色分配：给用户/设备所在的Azure AD组分配App Configuration Data Reader角色

在MAUI应用中，使用InteractiveBrowserCredential（适配移动端交互）获取Azure AD凭证，再连接App Config：

var builder = MauiApp.CreateBuilder();
builder.Configuration.AddAzureAppConfiguration(options =>
{
    options.Connect(new Uri("你的Azure App配置端点"))
           .WithCredential(new InteractiveBrowserCredential(
               new InteractiveBrowserCredentialOptions
               {
                   TenantId = "你的Azure AD租户ID",
                   ClientId = "你的MAUI应用注册的客户端ID"
               }))
           .ConfigureRefresh(refreshOptions =>
           {
               refreshOptions.Register("ApiApp:IsMaintenance", true);
               refreshOptions.SetCacheExpiration(TimeSpan.FromSeconds(60));
           });
});

这种方式无需存储任何密钥，依赖用户的Azure AD身份授权，安全性大幅提升。

3. 若必须使用连接字符串：安全注入+SecureStorage存储

如果因业务限制必须使用连接字符串，绝对不能硬编码，需通过以下渠道注入后存入SecureStorage：

企业应用场景：首次启动时让管理员输入连接字符串，验证通过后存入SecureStorage，后续启动直接读取
应用分发场景：利用MAUI环境变量（发布时配置）或应用分发平台（如Azure App Center）的配置中心，在安装时注入连接字符串，再存入SecureStorage

仅读取的示例代码（无硬编码）：

// 从SecureStorage读取，首次启动需从外部渠道获取后存入
var connectionString = await SecureStorage.Default.GetAsync("AzureAppConfigConnectionString");
if (!string.IsNullOrEmpty(connectionString))
{
    builder.Configuration.AddAzureAppConfiguration(options =>
    {
        options.Connect(connectionString)
               .ConfigureRefresh(refreshOptions =>
               {
                   refreshOptions.Register("ApiApp:IsMaintenance", true);
                   refreshOptions.SetCacheExpiration(TimeSpan.FromSeconds(60));
               });
    });
}

4. 额外优化：保留配置自动刷新与缓存

延续Web应用的逻辑，保留配置自动刷新机制，确保应用能及时获取Azure App配置的更新，同时通过缓存减少不必要的网络请求。

内容的提问来源于stack exchange，提问作者Vladimir