如何在Azure Pipelines中查看库内变量组的锁定变量值？

安全阿岳

2026-7-9

查看Azure Pipelines受保护变量实际值的方法

Azure DevOps对受保护变量的日志屏蔽是强制安全机制，目的是防止敏感信息泄露，哪怕是管理员也无法直接在管道日志中看到明文。以下是几种合法的查看方式：

1. 直接在变量组中解锁查看（管理员专属）

进入项目的「库」→「变量组」，找到目标组DevGroup
找到带锁标记的受保护变量，点击右侧的锁形图标解锁，即可看到实际值
查看完成后务必重新锁定变量，维持安全性

2. 通过管道工件下载查看（已验证可用）

你当前的脚本已经实现了这个逻辑：

- powershell: |
    "the value: $(StorageAccName)" | Out-File -FilePath $(Build.ArtifactStagingDirectory)\DisplaySecret.txt
- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: '$(Build.ArtifactStagingDirectory)'
    ArtifactName: 'drop'
    publishLocation: 'Container'

管道运行完成后，进入该次运行的详情页，切换到「工件」标签
下载drop工件包，解压后打开DisplaySecret.txt即可查看变量明文

3. 用Azure DevOps REST API查询（自动化场景）

使用管理员权限的个人访问令牌（PAT）调用变量组接口，可获取变量详情：

示例PowerShell脚本

$token = "你的管理员PAT令牌"
$orgName = "你的组织名称"
$projectName = "你的项目名称"
$groupId = "目标变量组的ID"
$headers = @{Authorization = "Bearer $token"}

Invoke-RestMethod -Uri "https://dev.azure.com/$orgName/$projectName/_apis/distributedtask/variablegroups/$groupId?api-version=7.1-preview.2" -Headers $headers