通过公开GitHub仓库部署ASP.NET WebApp，如何隐藏连接字符串？

用GitHub Secrets存储敏感信息是靠谱的思路，下面分场景讲具体实现方式：

一、本地开发调试的处理 #

本地绝对不能硬编码敏感字符串，用本地配置文件（不提交到仓库）或者系统环境变量来存：

• 如果是ASP.NET Core项目：
  1. 在项目根目录创建appsettings.Development.json，写入：

     {
       "ConnectionStrings": {
         "Default": "你的敏感连接字符串"
       }
     }
     

  2. 把appsettings.Development.json添加到.gitignore里，避免提交到仓库
  3. 在Program.cs里读取配置：

     var builder = WebApplication.CreateBuilder(args);
     // 优先从环境变量读，没有的话用本地配置
     var connectionString = Environment.GetEnvironmentVariable("DEFAULT_CONNECTION") 
                           ?? builder.Configuration.GetConnectionString("Default");
     

• 如果是普通.NET项目：
  1. 安装DotNetEnv NuGet包，创建.env文件写入：

     DEFAULT_CONNECTION=你的敏感连接字符串
     

  2. 把.env加入.gitignore
  3. 在Program.cs里读取：

     DotNetEnv.Env.Load();
     var connectionString = Environment.GetEnvironmentVariable("DEFAULT_CONNECTION");
     

二、GitHub Actions中访问Secrets #

当你需要在GitHub的CI/CD流程（比如构建、部署）里用到这个字符串时：

1. 先把敏感字符串存入GitHub Secrets：
   打开仓库的「Settings」→「Secrets and variables」→「Actions」，点击「New repository secret」，填名称（比如DEFAULT_CONNECTION）和连接字符串后保存
2. 在工作流文件（.github/workflows/xxx.yml）里把Secrets注入为环境变量：

   jobs:
     build-deploy:
       runs-on: ubuntu-latest
       steps:
         - uses: actions/checkout@v4
         - name: 配置.NET环境
           uses: actions/setup-dotnet@v4
           with:
             dotnet-version: 8.0.x
         - name: 构建项目
           env:
             DEFAULT_CONNECTION: ${{ secrets.DEFAULT_CONNECTION }}
           run: dotnet build --configuration Release
   

3. 此时Program.cs里读取环境变量的代码会自动拿到这个值，和本地逻辑兼容

三、核心注意事项 #

• 绝对不要把敏感信息硬编码到代码里，也不要提交任何包含敏感内容的文件到仓库
• 优先用环境变量读取逻辑，这样本地和CI环境可以无缝切换，不需要改代码
• 检查.gitignore，确保appsettings.Development.json、.env、*.user这类本地配置文件都被排除

内容的提问来源于stack exchange，提问作者SpicyRiceTea