Azure DevOps发布管道：内联与文件Bash脚本调用Key Vault密钥的差异及疑问

1. 内联脚本与文件式脚本输出差异的原因及操作问题 #

变量识别的核心差异 #

• 内联脚本：Azure DevOps管道引擎会在脚本发送给代理执行之前，完成所有$(变量名)的替换。只要开启了代理作业的允许脚本访问秘密变量，密钥变量test1会被直接替换为实际值，再传递给bash执行。
• 文件式脚本：如果文件脚本里直接写$(test1)，bash会把它当成自身的命令替换语法（尝试执行test1命令并取输出），而非Azure DevOps的变量。这会导致bash找不到对应命令，输出为空或报错；如果通过脚本参数传递$(test1)但脚本未用$1这类参数语法接收，也会出现输出异常。

你的操作可能存在的问题 #

• 文件脚本未正确接收参数：传了$(test1)作为参数，但脚本里仍写$(test1)而非$1。
• 未开启代理作业的允许脚本访问秘密变量：密钥变量默认是隐藏状态，不开启则无法注入到代理环境变量中。
• 混淆了Azure DevOps变量语法$(xxx)和bash变量语法$xxx/${xxx}。

2. 文件式脚本无需传参直接使用密钥的方法 #

完全可以，以下两种方式可靠可行：

方式一：利用代理环境变量注入 #

1. 在Azure DevOps发布管道的代理作业配置中，勾选允许脚本访问秘密变量。
2. 文件脚本中直接使用大写的变量名作为bash环境变量：比如密钥test1对应的环境变量是TEST1，脚本里写echo $TEST1即可读取值。

   注：Azure DevOps自动转换管道变量为环境变量的规则：变量名转大写，非字母数字字符替换为下划线。例如test-key会转为TEST_KEY。

方式二：手动映射环境变量 #

1. 在文件式脚本的任务配置中，找到「环境变量」区域，添加一行：
   • 名称：自定义环境变量名（如MY_SECRET）
   • 值：$(test1)
2. 文件脚本中直接使用$MY_SECRET即可读取密钥值。

内容的提问来源于stack exchange，提问作者KKI