如何在Azure静态Web应用配置中存储Google reCAPTCHA Enterprise私钥

我开发了基于Blazor WebAssembly的Azure静态Web应用（使用Visual Studio 2022社区版），集成了Google reCAPTCHA Enterprise服务，后端由Azure Functions处理reCAPTCHA验证逻辑，并通过SendGrid发送邮件。

开发阶段将Google服务账号凭据存储在local.settings.json中，其中private_key包含带\n转义符的完整私钥内容，开发环境运行正常。但部署到生产环境后，将private_key存入Azure应用配置时，Google服务始终验证失败，只有硬编码到代码中才能正常工作，确定问题出在\n转义字符的处理上。

解决方案 #

1. 直接在Azure配置中使用实际换行 #

Azure应用配置/应用服务的配置项支持直接输入实际换行，无需转义：

• 进入Azure门户，找到目标Functions应用，进入配置 > 应用程序设置
• 编辑private_key对应的配置值，把私钥里的\n全部替换为实际的换行（直接按回车键）
• 确保私钥格式正确：开头是-----BEGIN PRIVATE KEY-----，换行后是私钥主体内容，最后换行到-----END PRIVATE KEY-----

2. 代码中手动转换转义符 #

如果必须保留配置里的\n转义符，可在读取配置后做手动替换：

// 读取配置中的私钥
var rawPrivateKey = Environment.GetEnvironmentVariable("private_key");
// 将转义的\\n替换为实际换行符
var processedPrivateKey = rawPrivateKey.Replace("\\n", "\n");
// 传入Google客户端使用处理后的私钥

3. 存储完整的服务账号JSON到单个配置项 #

把整个Google服务账号的JSON文件内容作为单个配置值存储，避免拆分字段的问题：

• 复制Google控制台下载的服务账号完整JSON内容（不要添加额外转义）
• 在Azure配置中新增应用设置，比如命名为GoogleServiceAccountJson，粘贴完整JSON
• 代码中直接读取并反序列化：

var serviceAccountJson = Environment.GetEnvironmentVariable("GoogleServiceAccountJson");
var credentials = GoogleCredential.FromJson(serviceAccountJson);

4. 使用Azure Key Vault存储私钥（生产环境推荐） #

敏感凭据建议用Azure Key Vault托管，更安全且能正确处理换行：

• 创建Azure Key Vault实例，将私钥作为机密存入，机密值使用实际换行格式
• 为Functions应用启用系统托管标识，赋予Key Vault的机密读取权限
• 在应用配置中引用Key Vault机密，格式为@Microsoft.KeyVault(SecretUri=<你的机密URI>)
• 代码中读取配置的方式不变，Azure会自动拉取正确的私钥内容

内容的提问来源于stack exchange，提问作者Code4Fun