.NET MAUI应用用户密钥管理方案咨询

本地调试方案：使用.NET用户机密 #

• 右键MAUI项目 → 选择「管理用户机密」，打开本地的secrets.json文件
• 在文件中添加密钥配置，示例：

  {
    "ApiKeys": {
      "FunctionApiKey": "本地调试用的密钥值"
    }
  }
  

• 在MauiProgram.cs中加载用户机密并读取：

  var builder = MauiApp.CreateBuilder();
  // 加载用户机密
  builder.Configuration.AddUserSecrets<App>();
  // 读取密钥
  var functionApiKey = builder.Configuration["ApiKeys:FunctionApiKey"];
  

• 用户机密文件仅存储在本地，不会被提交到源代码控制系统，完全满足本地调试的安全需求。

Azure流水线多环境密钥配置 #

步骤1：创建环境变量组 #

在Azure DevOps中创建两个变量组：

• Dev-Secrets：存储开发环境的密钥
• Prod-Secrets：存储正式环境的密钥

步骤2：链接Key Vault（解决循环依赖） #

如果密钥存储在Azure Key Vault中，可将变量组与Key Vault关联：

• 给变量组启用「链接到Azure Key Vault」，将变量组中的每个变量映射到Key Vault对应的秘密
• 流水线运行时会自动从Key Vault拉取最新密钥，避免手动维护变量值，同时解决“密钥是调用Functions的凭据，无法通过Functions中转获取Key Vault”的循环依赖问题。

步骤3：项目中添加占位符配置 #

在MAUI项目中创建appsettings.json文件，添加密钥占位符：

{
  "ApiKeys": {
    "FunctionApiKey": "#{FunctionApiKey}#"
  }
}

将该文件的属性设置为「嵌入的资源」，确保构建时打包到应用中。

步骤4：流水线中替换占位符 #

在Azure流水线的构建阶段前添加「Replace Tokens」任务：

• 设置目标文件为**/appsettings.json
• 令牌前缀设为#{，后缀设为}#
• 根据流水线阶段（开发/正式）引用对应的变量组，任务会自动用变量组中的密钥替换占位符。

步骤5：代码中统一读取配置 #

无论本地调试还是发布环境，代码中都通过IConfiguration读取密钥，无需区分环境：

var functionApiKey = builder.Configuration["ApiKeys:FunctionApiKey"];

关于移动端直接访问Key Vault的问题 #

你之前遇到的ManagedIdentityCredential报错，是因为移动平台不支持托管身份认证流程。不建议在MAUI移动端运行时直接访问Key Vault，一来存在安全风险（移动端容易被逆向获取凭据），二来认证流程受限。通过构建阶段注入密钥的方式，既规避了认证问题，又保证了密钥的安全隔离。

内容的提问来源于stack exchange，提问作者David Shochet