发布Blazor WASM至Azure App Service时的Azure Key Vault连接问题

问题根源 #

发布阶段VaultUri环境变量读取为空，且EF迁移因发布环境模式不匹配，无法获取Key Vault中的数据库连接字符串，导致发布失败。

具体解决方案 #

1. 修复Key Vault连接的空值处理逻辑 #

替换自动生成的Key Vault连接代码，优先从配置系统读取VaultUri，并添加空值判断避免崩溃：

var vaultUri = builder.Configuration["VaultUri"];
if (!string.IsNullOrEmpty(vaultUri))
{
    builder.Configuration.AddAzureKeyVault(new Uri(vaultUri), new DefaultAzureCredential());
}

此逻辑兼容本地调试和发布场景：配置存在VaultUri则连接Key Vault，不存在则直接跳过。

2. 强制发布过程使用生产环境 #

在Visual Studio的发布配置文件（.pubxml）中添加以下配置，确保发布阶段以生产模式运行：

<PropertyGroup>
  <EnvironmentName>Production</EnvironmentName>
</PropertyGroup>

也可以在发布向导的设置页面，将「环境」选项直接设置为Production，让发布时的代码逻辑按生产模式执行。

3. 单独处理EF迁移的连接字符串 #

如果EF迁移仍无法读取Key Vault中的机密，可通过以下两种方式解决：

• 在Azure App Service的「配置-应用程序设置」中直接添加ConnectionStrings__DefaultConnection，覆盖配置文件中的占位符，迁移时会优先读取此值
• 手动执行迁移命令并指定生产连接字符串：

dotnet ef database update --connection "你的生产数据库连接字符串" --environment Production

4. 本地调试与生产环境的隔离 #

若需本地调试时不连接生产Key Vault，在appsettings.Development.json中将VaultUri设为空字符串，或添加环境判断：

if (!builder.Environment.IsDevelopment() && !string.IsNullOrEmpty(vaultUri))
{
    builder.Configuration.AddAzureKeyVault(new Uri(vaultUri), new DefaultAzureCredential());
}

这样本地开发模式下会跳过生产Key Vault连接，发布时正常执行。

验证要点 #

• 确认Azure App Service的应用程序设置中VaultUri配置正确
• 本地调试时appsettings.Development.json的VaultUri为空或指向开发密钥库
• 检查发布配置文件的EnvironmentName是否为Production
• 发布后验证应用能否正常读取Key Vault中的机密

内容的提问来源于stack exchange，提问作者Simon Bailey