VS2022本地调用Azure Key Vault时令牌获取失败问题排查

核心原因 #

1. LOCALAPPDATA环境变量缺失：你使用的AzureServiceTokenProvider（旧版Azure认证库）依赖Windows系统的LOCALAPPDATA环境变量存储令牌缓存，若该变量未正确加载或不存在，会直接导致令牌获取失败。
2. 依赖已弃用的Azure SDK库：当前代码中使用的Microsoft.Azure.Services.AppAuthentication和Microsoft.Azure.KeyVault属于旧版SDK，官方已停止维护，对现代开发环境的兼容性较差，且优先级逻辑存在缺陷——即使配置了AZURE_*系列环境变量，仍会优先尝试Visual Studio/CLI认证路径，而这两条路径因LOCALAPPDATA缺失无法正常工作。

分步解决方案 #

1. 修复LOCALAPPDATA环境变量（Windows系统） #

• 打开「系统属性」→「高级」→「环境变量」，检查用户变量中是否存在LOCALAPPDATA，值应为C:\Users\<你的用户名>\AppData\Local。
• 若变量不存在，手动添加并设置正确路径，重启VS2022确保环境变量生效。

2. 升级至新版Azure SDK库（推荐方案） #

新版Azure.Identity和Azure.Security.KeyVault.Secrets库已替代旧版，无需依赖LOCALAPPDATA，且能自动识别你配置的环境变量，稳定性和兼容性更强。

操作步骤：

• 卸载旧NuGet包：Microsoft.Azure.Services.AppAuthentication、Microsoft.Azure.KeyVault
• 安装新版NuGet包：Azure.Identity、Azure.Security.KeyVault.Secrets

修改Program.cs代码：

替换原KeyVault代码块为以下内容：

#region KeyVault
var keyVaultEndpoint = builder.Configuration.GetSection("KeyVault").GetValue<string>("VaultURI");

if (!string.IsNullOrEmpty(keyVaultEndpoint))
{
    // 读取你配置的环境变量，创建客户端密钥凭证
    var credential = new ClientSecretCredential(
        Environment.GetEnvironmentVariable("AZURE_TENANT_ID"),
        Environment.GetEnvironmentVariable("AZURE_CLIENT_ID"),
        Environment.GetEnvironmentVariable("AZURE_CLIENT_SECRET"));
    
    builder.Configuration.AddAzureKeyVault(
        new Uri(keyVaultEndpoint),
        credential,
        new AzureKeyVaultConfigurationOptions());
}
#endregion KeyVault

3. 使用Azure CLI认证（替代方案） #

若想用已登录的Azure CLI身份获取令牌，无需配置环境变量，只需替换凭证类型：

#region KeyVault
var keyVaultEndpoint = builder.Configuration.GetSection("KeyVault").GetValue<string>("VaultURI");

if (!string.IsNullOrEmpty(keyVaultEndpoint))
{
    var credential = new AzureCliCredential();
    var client = new SecretClient(new Uri(keyVaultEndpoint), credential);
    builder.Configuration.AddAzureKeyVault(client, new AzureKeyVaultConfigurationOptions());
}
#endregion KeyVault

内容的提问来源于stack exchange，提问作者Jean-François Beaulieu