如何在Azure仓库文件中像Azure Pipelines那样用外部变量实现数据掩码？

1. 结合Azure Key Vault + 环境变量（适配CI/CD与本地开发） #

• 将密钥、连接字符串等敏感数据存入Azure Key Vault的机密项。
• 脚本中通过环境变量引用，示例写法：Python用variable = os.getenv("SECRET_ONE")，PowerShell用$env:SECRET_ONE，逻辑和Azure Pipelines的$(SecretOne)对齐。
• 本地开发时，在项目根目录创建.env文件写入SECRET_ONE=xxx，并把.env加入.gitignore避免提交。用对应语言的工具加载该文件（比如Python的python-dotenv、Node.js的dotenv）。
• CI/CD流程中，通过Azure Pipelines的AzureKeyVault任务或GitHub Actions的azure/keyvault-secrets任务，从Key Vault拉取机密并注入环境变量，供脚本自动读取。

2. 利用Azure Repos变量组（适配Azure Pipelines CI/CD） #

• 在Azure DevOps的Library中创建变量组，把敏感数据设为机密变量（勾选"Keep this value secret"）。
• 在Pipelines的yaml文件中引用变量组：

  variables:
  - group: MySecretVariables
  

• 脚本中直接读取环境变量，比如Bash用$SECRET_ONE、PowerShell用$env:SECRET_ONE，和你熟悉的$(SecretOne)用法一致。
• 本地开发仍用.env文件模拟这些变量，且忽略该文件，避免本地克隆后泄露数据。

3. 脚本参数化调用（通用轻量场景） #

• 修改脚本，将敏感数据作为命令行参数传入，示例：

  # example.sh 脚本内容
  variable=$1
  # 后续使用variable执行操作
  

• CI/CD中执行脚本时传入机密变量：./example.sh $(SecretOne)；本地开发时传入测试值：./example.sh 本地测试密钥，敏感值不会写入脚本本身。
• 此方式无需额外依赖，适合简单场景，只需确保调用脚本的入口（如Pipelines yaml）正确传递机密，且本地执行时不把敏感参数写入任何仓库提交文件。

核心注意事项 #

• 所有含敏感数据的本地文件（如.env）必须加入.gitignore，严禁提交到Azure仓库。
• CI/CD流程中，拉取机密的步骤需遵循权限最小化原则，只赋予必要的访问权限。
• 脚本中绝对禁止硬编码敏感数据，所有敏感值必须通过外部注入获取。

内容的提问来源于stack exchange，提问作者user19560879