如何在Azure DevOps流水线的Docker容器中注入机密变量？

1. 开启Bash任务的受保护变量访问权限 #

在Azure DevOps流水线的Bash@3任务配置里，找到**"运行此任务时允许访问受保护变量"**选项并勾选。这是受保护变量能被任务读取的必要前提，未开启的话任务根本无法获取到API_KEY的值。

2. 修正Docker命令的变量传递写法 #

直接使用$API_KEY可能因shell解析、特殊字符转义等问题导致变量值为空，建议用双引号包裹完整的环境变量参数，确保值被完整传递：

#!/bin/bash
docker run --rm --name ${BUILD_BUILDNUMBER} --env "RTF_API_KEY=${API_KEY}" \
--mount type=bind,source="$BUILD_SOURCESDIRECTORY",target="/root/" \
${REGISTRY_ENDPOINT}/${REGISTRY_PATH}/${{variables.image}}:${{variables.tag}} /root/build_scripts/my-script.sh

3. 调试验证（可选） #

如果仍有问题，可在Docker命令前添加一行调试输出，确认任务是否正确读取到变量值（注意生产环境要删除该行，避免泄露机密）：

echo "API_KEY读取值: ${API_KEY}"

原理说明 #

Azure DevOps的受保护变量默认仅对标记了"允许访问受保护变量"的任务可见，且在shell脚本中传递时，双引号能避免变量内容被shell拆分或转义，确保机密值完整注入到容器的环境变量中。

内容的提问来源于stack exchange，提问作者DanDan