EF Core中为运行时与迁移配置不同数据库认证方式

可以通过分离迁移与运行时的DbContext配置逻辑来实现，核心思路是让EF Core迁移工具使用独立的上下文配置，避免和运行时的托管身份认证逻辑冲突。下面是两种可行方案：

方案1：实现IDesignTimeDbContextFactory（推荐） #

EF Core的迁移工具（如Update-Database、Add-Migration）会优先查找并使用IDesignTimeDbContextFactory接口的实现来创建DbContext，无需依赖运行时环境。你可以专门为迁移场景实现这个接口，直接使用服务主体的连接串：

public class FunctionContextDesignTimeFactory : IDesignTimeDbContextFactory<FunctionContext>
{
    public FunctionContext CreateDbContext(string[] args)
    {
        var optionsBuilder = new DbContextOptionsBuilder<FunctionContext>();
        // 读取迁移专用的环境变量（Azure DevOps管道中设置该变量）
        var migrationConnectionString = Environment.GetEnvironmentVariable("SqlMigrationConnectionString");
        
        optionsBuilder.UseSqlServer(migrationConnectionString, opts =>
        {
            opts.EnableRetryOnFailure();
        });
        optionsBuilder.LogTo(Console.WriteLine);
        optionsBuilder.UseExceptionProcessor();
        optionsBuilder.EnableSensitiveDataLogging();

        return new FunctionContext(optionsBuilder.Options);
    }
}

同时修改你的FunctionContext，增加接收DbContextOptions<FunctionContext>的构造函数，让运行时和迁移工厂都能通过传参初始化上下文，避免硬编码逻辑覆盖配置：

public class FunctionContext : DbContext
{
    // 给依赖注入/迁移工厂用的构造函数
    public FunctionContext(DbContextOptions<FunctionContext> options) : base(options)
    {
    }

    protected override void OnConfiguring(DbContextOptionsBuilder optionsBuilder)
    {
        // 仅当外部未传入配置时，才执行运行时的托管身份逻辑
        if (!optionsBuilder.IsConfigured)
        {
            SqlConnection connection = new();
            
            var credential = new DefaultAzureCredential(new DefaultAzureCredentialOptions { 
                ManagedIdentityClientId = Environment.GetEnvironmentVariable("userAssignedClientId") 
            });
            var token = credential.GetToken(new Azure.Core.TokenRequestContext(new[] { "https://database.windows.net/.default" }));
            connection.ConnectionString = Environment.GetEnvironmentVariable("SqlConnectionString");
            connection.AccessToken = token.Token;

            optionsBuilder.UseSqlServer(connection);
            optionsBuilder.LogTo(Console.WriteLine);
            optionsBuilder.UseExceptionProcessor();
            optionsBuilder.EnableSensitiveDataLogging();
        }
    }
}

配置说明 #

• 运行时：Azure Function中设置SqlConnectionString（格式：Server=demo.database.windows.net; Database=testdb）和userAssignedClientId，上下文自动走托管身份认证逻辑。
• 迁移时：Azure DevOps管道中设置SqlMigrationConnectionString（格式：Server=demo.database.windows.net; Authentication=Active Directory Service Principal; Encrypt=True; Database=testdb; User Id=AppId; Password=secret），迁移工具会使用FunctionContextDesignTimeFactory创建上下文，直接使用服务主体连接串。

方案2：通过环境变量区分场景 #

如果不想额外实现工厂类，可以在OnConfiguring方法中判断当前环境，加载不同的连接配置：

protected override void OnConfiguring(DbContextOptionsBuilder optionsBuilder)
{
    var isMigrationEnvironment = Environment.GetEnvironmentVariable("IsMigrationEnvironment") == "true";
    
    if (isMigrationEnvironment)
    {
        // 迁移场景：使用服务主体连接串
        var migrationConnStr = Environment.GetEnvironmentVariable("SqlMigrationConnectionString");
        optionsBuilder.UseSqlServer(migrationConnStr);
    }
    else
    {
        // 运行时场景：托管身份认证
        SqlConnection connection = new();
        
        var credential = new DefaultAzureCredential(new DefaultAzureCredentialOptions { 
            ManagedIdentityClientId = Environment.GetEnvironmentVariable("userAssignedClientId") 
        });
        var token = credential.GetToken(new Azure.Core.TokenRequestContext(new[] { "https://database.windows.net/.default" }));
        connection.ConnectionString = Environment.GetEnvironmentVariable("SqlConnectionString");
        connection.AccessToken = token.Token;

        optionsBuilder.UseSqlServer(connection);
    }
    
    optionsBuilder.LogTo(Console.WriteLine);
    optionsBuilder.UseExceptionProcessor();
    optionsBuilder.EnableSensitiveDataLogging();
}

配置说明 #

• 迁移时：Azure DevOps管道中设置IsMigrationEnvironment=true和SqlMigrationConnectionString（服务主体格式），执行Update-Database时自动使用迁移配置。
• 运行时：Azure Function中不设置IsMigrationEnvironment，默认走托管身份逻辑。

关键注意点 #

• 必须确保OnConfiguring中的逻辑不会覆盖外部传入的配置（方案1中通过!optionsBuilder.IsConfigured判断），否则迁移工厂的配置会被运行时逻辑覆盖。
• Azure DevOps管道中要确保环境变量能正确传递给迁移命令，比如在执行dotnet ef database update前设置对应的变量。

内容的提问来源于stack exchange，提问作者woozy