SonarLint告警Bicep SQL连接字符串安全密码参数，求正确方案

可能的告警触发原因 #

SonarLint的告警核心是敏感数据处理不符合安全规范，常见触发点：

• 数据库密码这类敏感参数未被正确标记为安全项，工具判定存在暴露风险
• 模块的参数或输出未添加安全标记，导致SonarLint无法识别这是敏感数据

正确实现步骤 #

• Key Vault密码引用添加安全标记
  从Key Vault获取密码时，直接用@secure()标记变量，明确这是敏感数据：

  var dbPassword = @secure() reference(resourceId('Microsoft.KeyVault/vaults/secrets', 'your-kv-name', 'db-password-secret'), '2023-02-01').value
  

• 模块参数强制加@secure()装饰器
  在接收密码的模块里，必须对密码参数添加安全标记，这是SonarLint识别敏感参数的关键：

  param dbServerName string
  param dbDatabaseName string
  @secure()
  param dbPassword string
  

• 连接字符串输出也要标记为安全
  构建完成的连接字符串同样用@secure()标记，避免SonarLint判定为明文输出：

  output sqlConnectionString string = @secure() 'Server=tcp:${dbServerName}.database.windows.net,1433;Initial Catalog=${dbDatabaseName};User ID=sqladmin;Password=${dbPassword};Encrypt=True;'
  

• 全程杜绝敏感数据暴露
  不要在任何非安全变量、输出中单独存放密码或连接字符串，也禁止在部署脚本里打印这类内容，彻底切断敏感数据的泄露路径

验证效果 #

按上述方式调整后，SonarLint会识别到所有敏感数据都被正确标记，告警应该会消失。同时部署流程的安全性也得到保障，敏感数据不会出现在部署日志或非安全输出中。

内容的提问来源于stack exchange，提问作者Carl