设置环境变量PULUMI_CONFIG_PASSPHRASE无效，PULUMI_CONFIG_PASSPHRASE_FILE可用

你遇到的问题是直接设置PULUMI_CONFIG_PASSPHRASE环境变量时提示密码错误，但通过PULUMI_CONFIG_PASSPHRASE_FILE指定文件存储密码却能正常工作，执行命令及错误信息如下：

$ PULUMI_CONFIG_PASSPHRASE="REDACTED" pulumi stack output url
error: failed to decrypt: incorrect passphrase, please set PULUMI_CONFIG_PASSPHRASE to the correct passphrase or set PULUMI_CONFIG_PASSPHRASE_FILE to a file containing the passphrase

以下是几种常见原因及解决办法：

• 密码含特殊字符被shell解析篡改
  如果你的密码包含空格、双引号、反斜杠等特殊字符，直接用PULUMI_CONFIG_PASSPHRASE="xxx"的方式赋值时，shell会自动转义或截断这些字符，导致传入Pulumi的密码和真实值不符。而文件存储的密码会被完整读取，不会被shell处理。
  解决：用单引号包裹密码避免解析，比如：

  PULUMI_CONFIG_PASSPHRASE='your_passphrase_with_special_chars' pulumi stack output url
  

  或者先把密码导出为环境变量再执行命令：

  export PULUMI_CONFIG_PASSPHRASE='your_passphrase'
  pulumi stack output url
  

• 密码带入隐形字符
  复制粘贴密码时可能不小心带入空格、换行符这类看不见的字符，设环境变量时这些字符会被当作密码的一部分，而存入文件时你可以手动清理掉这些无效内容。
  解决：手动输入密码，或者用echo -n "your_passphrase" > passphrase.txt生成干净的密码文件，再对比验证。

• Shell环境变量传递异常
  比如在脚本中用sudo切换用户、或者跨终端执行命令时，环境变量可能不会被继承，导致Pulumi拿不到正确的密码值。而文件只要路径正确、权限足够就能被读取。
  解决：确保赋值命令和pulumi命令在同一终端窗口执行，或者用export把变量持久化到当前shell环境。

内容的提问来源于stack exchange，提问作者lee-pai-long