部署ASP.NET Core 6应用时GitHub Secrets替换appsettings.json认证失败

问题核心 #

• 本地运行正常，Azure部署后接口返回认证错误
• 日志对比显示：Azure环境中凭证值被自动添加引号，本地无引号
• GitHub Secrets无论加/不加引号都无法解决：不加引号触发内部服务器错误，加引号则认证失败
• GitHub Actions日志显示appsettings.json被替换了3次，涉及publish目录、项目根目录、bin/Release/net6.0目录

问题根源 #

1. 多文件替换引发配置混乱：同时替换多个目录下的appsettings.json完全没必要——ASP.NET Core部署到Azure后，实际生效的是publish目录下的配置文件。多文件重复替换可能导致最终生效的配置不是预期版本，甚至破坏JSON结构。
2. Secrets替换的JSON语法错误：直接做字符串替换时，若处理不当会破坏JSON格式：不加引号会导致JSON语法错误触发500；手动加引号则会让最终值带双层引号（比如""秘钥值""），导致认证失败。

解决方案 #

1. 只替换publish目录下的配置文件 #

修改GitHub Actions的YAML配置，仅针对publish目录的appsettings.json执行替换，避免无效操作和冲突：

# Linux/macOS runner用sed命令
- name: 替换publish目录下的秘钥配置
  run: sed -i 's/"SecretKeyPlaceholder": "PLACEHOLDER"/"SecretKeyPlaceholder": "${{ secrets.YOUR_TARGET_SECRET }}"/' ./publish/appsettings.json

Windows runner请用PowerShell命令：

(Get-Content ./publish/appsettings.json) -replace '"SecretKeyPlaceholder": "PLACEHOLDER"', '"SecretKeyPlaceholder": "${{ secrets.YOUR_TARGET_SECRET }}"' | Set-Content ./publish/appsettings.json

2. 正确处理Secrets的JSON格式 #

• 不要给GitHub Secrets手动加任何引号，保持秘钥值本身的原始状态
• 确保appsettings.json中的占位符是标准JSON格式（比如"SecretKeyPlaceholder": "PLACEHOLDER"），替换后会自动生成符合JSON要求的带引号格式，不会出现多余引号

3. 验证最终生效的配置 #

部署完成后，通过Azure门户的**高级工具(Kudu)**进入调试控制台，打开site/wwwroot目录（publish部署后的位置），查看appsettings.json内容，确认凭证值格式正确（无多余引号，符合JSON语法）。

4. 改用Azure原生配置管理方案（推荐） #

长期来看，替换配置文件不是最优解，推荐用Azure原生工具管理敏感配置：

• Azure App Configuration：直接在Azure中管理应用配置，通过应用服务的配置项注入，无需修改本地配置文件
• Azure Key Vault：存储敏感凭证，应用服务通过托管身份访问，完全避免配置文件中出现敏感信息

内容的提问来源于stack exchange，提问作者Lostaunaum