如何在CI/CD中通过Azure Key Vault为容器化Playwright传递登录凭据？

完全可以实现，不用硬编码敏感凭据的方案如下：

1. 将敏感凭据存入Azure Key Vault #

• 在Azure Key Vault中创建两个机密（Secret），分别存储测试用的Azure AD用户名和密码（比如命名为test-aad-username和test-aad-password）。

2. 让Azure DevOps流水线有权访问Key Vault #

• 在Azure门户中，给Azure DevOps流水线使用的服务主体（或对应的服务连接）分配Key Vault的**机密读取（Secret Reader）**权限，确保流水线能拉取到所需的敏感数据。

3. 在流水线中拉取Key Vault机密并传递给Docker容器 #

在你的Azure DevOps YAML流水线中，先添加Key Vault任务拉取机密，再通过环境变量将机密传入运行中的Docker容器：

流水线YAML示例 #

# 拉取Key Vault中的机密到流水线变量
- task: AzureKeyVault@2
  inputs:
    azureSubscription: '你的Azure服务连接名称'
    KeyVaultName: '你的Key Vault名称'
    SecretsFilter: 'test-aad-username,test-aad-password'
    RunAsPreJob: false

# 运行Playwright测试容器，传入环境变量
- script: |
    docker run \
      -e AAD_USERNAME=$(test-aad-username) \
      -e AAD_PASSWORD=$(test-aad-password) \
      你的-playwright-test-image:latest
  displayName: '启动Playwright测试容器'

4. 在Playwright测试代码中读取环境变量 #

修改你的Playwright登录逻辑，直接从环境变量中获取凭据，避免硬编码：

Playwright测试代码示例（TypeScript） #

import { test } from '@playwright/test';

test('MSAL登录测试', async ({ page }) => {
  await page.goto('/');
  
  // 从环境变量读取凭据
  const username = process.env.AAD_USERNAME;
  const password = process.env.AAD_PASSWORD;

  // 执行登录操作
  await page.locator('#username').fill(username);
  await page.locator('#password').fill(password);
  await page.getByRole('button', { name: '登录' }).click();

  // 验证登录成功
  await page.waitForURL('/dashboard');
});

额外优化建议 #

• 缓存登录状态：可以用Playwright的storageState功能，首次登录后保存会话状态到文件，后续测试直接复用该状态，减少重复输入凭据的操作，提升测试效率。
• 权限最小化：确保Key Vault的访问权限只分配给必要的服务主体，遵循最小权限原则。

内容的提问来源于stack exchange，提问作者Depechie