如何在Kubernetes部署中替换.NET Core连接字符串的密码为Secret值？

方案一：通过环境变量直接覆盖完整连接字符串 #

.NET Core支持将环境变量中的双下划线(__)映射到配置的层级结构，你可以直接在Pod配置中拼接包含Secret密码的完整连接字符串，覆盖原有配置。

修改后的Pod配置：

apiVersion: v1
kind: Pod
metadata:
  name: secret-env-pod
spec:
  containers:
  - name: mycontainer
    image: my_app:v1
    env:
      - name: SECRET_PASSWORD
        valueFrom:
          secretKeyRef:
            name: mysecret
            key: db_password
      - name: ConnectionStrings__BloggingDatabase
        value: "Server=myServerAddress;Database=myDataBase;User Id=myUsername;Password=$(SECRET_PASSWORD);"

.NET Core启动时会优先读取该环境变量的值，自动覆盖appsettings.json中的对应配置项。

方案二：在应用内动态替换密码部分 #

保持现有Pod的环境变量配置不变，修改.NET Core应用的启动逻辑，读取基础连接字符串后替换密码为环境变量的值。

在Program.cs中添加处理逻辑：

var builder = WebApplication.CreateBuilder(args);

// 读取appsettings.json中的基础连接字符串
var baseConnStr = builder.Configuration.GetConnectionString("BloggingDatabase");
// 读取环境变量中的密码
var dbPassword = Environment.GetEnvironmentVariable("SECRET_PASSWORD");

// 替换连接字符串里的明文密码
var updatedConnStr = baseConnStr.Replace("myPassword", dbPassword);
// 将更新后的连接字符串重新注入配置
builder.Configuration["ConnectionStrings:BloggingDatabase"] = updatedConnStr;

// 后续服务注册等逻辑
var app = builder.Build();

这种方式无需改动Kubernetes配置，仅在应用层完成替换，适合需要保留基础配置结构的场景。

方案三：配置文件占位符+应用内解析 #

修改appsettings.json中的连接字符串，将密码部分改为环境变量占位符：

{
    "ConnectionStrings": {
        "BloggingDatabase": "Server=myServerAddress;Database=myDataBase;User Id=myUsername;Password=${SECRET_PASSWORD};"
    }
}

然后在Program.cs中添加占位符解析逻辑：

var builder = WebApplication.CreateBuilder(args);

var rawConnStr = builder.Configuration.GetConnectionString("BloggingDatabase");
// 自动替换占位符为环境变量对应值
var processedConnStr = Environment.ExpandEnvironmentVariables(rawConnStr);
builder.Configuration["ConnectionStrings:BloggingDatabase"] = processedConnStr;

// 后续启动逻辑
var app = builder.Build();

这种方式让配置文件更直观，明确标注需要动态替换的部分，同时在应用内完成解析。

内容的提问来源于stack exchange，提问作者barteloma