Azure Function v4本地运行Key Vault引用未解析，本地如何访问密钥？

本地是否支持Key Vault引用语法？ #

本地运行Azure Function时，默认不支持@Microsoft.KeyVault(...)这种平台级的引用解析——该语法的解析逻辑是Azure托管环境提供的，本地开发环境（Visual Studio/F5运行）没有内置这个解析机制，所以会直接返回原始字符串。

可行的本地开发方案 #

方案1：手动使用Key Vault SDK读取密钥 #

这是最可靠的方式，直接通过Azure官方SDK获取密钥，兼容本地和云端环境：

1. 安装NuGet包：

   • Azure.Security.KeyVault.Secrets
   • Azure.Identity

2. 在Program.cs中配置并读取密钥：

var host = new HostBuilder()
    .ConfigureFunctionsWorkerDefaults()
    .ConfigureServices((context, services) =>
    {
        // 从配置获取Key Vault地址（可存于local.settings.json或环境变量）
        var keyVaultUrl = context.Configuration["KeyVaultUrl"];
        if (!string.IsNullOrEmpty(keyVaultUrl))
        {
            // 使用DefaultAzureCredential自动获取本地认证（VS账户、Azure CLI等）
            var secretClient = new SecretClient(new Uri(keyVaultUrl), new DefaultAzureCredential());
            
            // 手动读取密钥并注入到服务中，或直接使用
            var mySecret = secretClient.GetSecretAsync("MySecret").GetAwaiter().GetResult();
            services.AddSingleton(new MySecretService(mySecret.Value.Value));
        }
    })
    .Build();

host.Run();

3. 权限说明：确保本地登录的Azure账户（Visual Studio或Azure CLI中登录的账户）拥有Key Vault的Secret User或Get权限。

方案2：自定义配置提供器解析引用语法 #

如果想保留@Microsoft.KeyVault的写法，可自定义配置提供器模拟云端的解析逻辑：

1. 实现自定义配置源和提供器：

public class KeyVaultReferenceConfigurationSource : IConfigurationSource
{
    public IConfigurationProvider Build(IConfigurationBuilder builder)
    {
        return new KeyVaultReferenceConfigurationProvider(builder.Build());
    }
}

public class KeyVaultReferenceConfigurationProvider : ConfigurationProvider
{
    private readonly IConfiguration _rootConfig;

    public KeyVaultReferenceConfigurationProvider(IConfiguration rootConfig)
    {
        _rootConfig = rootConfig;
    }

    public override void Load()
    {
        var keyVaultUrl = _rootConfig["KeyVaultUrl"];
        if (string.IsNullOrEmpty(keyVaultUrl)) return;

        var secretClient = new SecretClient(new Uri(keyVaultUrl), new DefaultAzureCredential());
        
        // 遍历所有配置项，匹配Key Vault引用格式并替换
        foreach (var kv in Data.ToList())
        {
            if (kv.Value?.StartsWith("@Microsoft.KeyVault(SecretUri=") == true)
            {
                var secretUriStr = kv.Value.Replace("@Microsoft.KeyVault(SecretUri=", "").TrimEnd(')');
                var secretUri = new Uri(secretUriStr);
                var secretName = secretUri.Segments[3].TrimEnd('/');
                
                // 同步读取密钥（本地开发可简化，生产环境建议异步处理）
                var secret = secretClient.GetSecretAsync(secretName).GetAwaiter().GetResult();
                Data[kv.Key] = secret.Value.Value;
            }
        }
    }
}

2. 在Program.cs中注册自定义配置源：

var host = new HostBuilder()
    .ConfigureAppConfiguration(builder =>
    {
        // 添加自定义配置源，放在最后确保覆盖原有配置
        builder.Add(new KeyVaultReferenceConfigurationSource());
    })
    .ConfigureFunctionsWorkerDefaults()
    .Build();

host.Run();

方案3：本地配置直接替换（快速开发） #

如果只是临时本地测试，可在local.settings.json中直接配置密钥值，部署到Azure时再切换为Key Vault引用：

{
  "IsEncrypted": false,
  "Values": {
    "AzureWebJobsStorage": "UseDevelopmentStorage=true",
    "FUNCTIONS_WORKER_RUNTIME": "dotnet",
    "MySecret": "your-local-secret-value"
  }
}

注意：将local.settings.json加入.gitignore，避免敏感信息泄露到版本控制。

关于AddAzureKeyVault()失效的说明 #

旧版Microsoft.Extensions.Configuration.AzureKeyVault包已被弃用，Azure Function v4（.NET 6）推荐使用Azure.Security.KeyVault.Secrets + Azure.Identity的组合，而非旧的AddAzureKeyVault()扩展方法——该方法适配的是更早的.NET版本和配置体系，在v4环境中兼容性不佳。

内容的提问来源于stack exchange，提问作者MattDuFeu