Azure Function App能否无需C#代码从KeyVault获取连接字符串？

可以在Function App中实现类似Web MVC的无代码操作，无需手动编写C#代码从Key Vault直接拉取连接字符串。以下是两种实现方案：

一、无代码平台配置方案（推荐，对应MVC的web.config方式） #

这种方式完全依赖Azure平台的配置能力，代码无需修改即可自动拉取Key Vault中的连接字符串：

• 1. 在Key Vault中存储连接字符串：将生产/测试环境的连接字符串以Secret形式存入Key Vault，命名比如DefaultConnectionFunction（生产）、DefaultConnectionFunctionTest（测试）。
• 2. 配置Function App的身份权限：给Function App的系统分配身份（或用户分配身份）授予Key Vault的Secret User角色权限，确保Function App能读取密钥。
• 3. 添加Key Vault引用到Function配置：在Azure门户的Function App「配置」页面中，添加连接字符串（或应用设置），值使用Key Vault引用格式：

  @Microsoft.KeyVault(SecretUri=https://<你的KeyVault名称>.vault.azure.net/secrets/<Secret名称>/<可选版本号>)
  

• 4. 代码中直接读取：在Function代码中，通过依赖注入的IConfiguration对象直接调用GetConnectionString("连接字符串名称")即可，本地开发时从local.settings.json读取，生产/测试环境由Azure自动从Key Vault拉取，无需区分环境。

这种方案和你之前MVC的web.config配置逻辑一致，都是平台自动处理密钥拉取，代码层面无额外修改。

二、优化现有代码方案（如果需要保留自定义逻辑） #

如果你倾向于保留代码控制逻辑，可以简化现有实现，利用Function内置的配置系统减少硬编码：

优化后的代码示例 #

public class YourFunction
{
    private readonly IConfiguration _configuration;
    private readonly SecretClient _secretClient;

    // 通过依赖注入获取IConfiguration，无需手动构建配置
    public YourFunction(IConfiguration configuration)
    {
        _configuration = configuration;
        var credential = new DefaultAzureCredential();
        var keyVaultUrl = _configuration["KeyVaultUrl"];
        _secretClient = new SecretClient(new Uri(keyVaultUrl), credential);
    }

    public async Task<string> GetConnectionStringAsync(ILogger logger)
    {
        // 从配置中读取连接字符串名称，可通过Azure门户配置切换环境
        string connectionStringName = _configuration["ConnectionStringName"] ?? "DefaultConnectionFunction";
        
        // 优先读取本地配置（local.settings.json）或Azure门户的直接配置
        var localConnString = _configuration.GetConnectionString(connectionStringName);
        if (!string.IsNullOrEmpty(localConnString))
        {
            logger.LogInformation($"使用本地/直接配置的连接字符串: {connectionStringName}");
            return localConnString;
        }

        try
        {
            logger.LogInformation($"从Key Vault拉取连接字符串: {connectionStringName}");
            KeyVaultSecret secret = await _secretClient.GetSecretAsync(connectionStringName);
            return secret.Value;
        }
        catch (Exception ex)
        {
            throw new ApplicationException($"无法从Azure Key Vault获取密钥: {connectionStringName}", ex);
        }
    }
}

优化说明 #

• 去掉硬编码的环境判断，改为通过Azure门户的应用设置ConnectionStringName切换密钥名称（比如测试环境设置为DefaultConnectionFunctionTest）。
• 利用Function内置的IConfiguration，无需手动构建ConfigurationBuilder，自动加载local.settings.json和Azure门户的配置。
• 优先读取本地/直接配置，提升开发效率，生产环境自动 fallback 到Key Vault拉取。

内容的提问来源于stack exchange，提问作者tvbRPTI2754