.NET 4.8 ASP.NET MVC运行时从Key Vault更新连接字符串最佳实践

核心思路 #

启动时一次性从Key Vault拉取连接字符串，替换内存中的配置集合（而非修改物理web.config文件，避免应用重启），原有业务代码无需大幅改动；若追求解耦，可采用依赖注入方案。

方案1：直接更新内存中的连接字符串配置（最小代码改动） #

1.1 优化Key Vault密钥获取逻辑

替换原有遍历所有密钥的低效代码，直接通过指定密钥名称获取：

public static string GetDbConnectionStringFromKeyVault()
{
    // 从web.config的appSettings读取配置，避免硬编码
    var keyVaultName = ConfigurationManager.AppSettings["AzureKeyVaultName"];
    var secretName = ConfigurationManager.AppSettings["DbConnectionSecretName"]; // 例如"MyDbConnectionString"

    var secretClient = new SecretClient(new Uri($"https://{keyVaultName}.vault.azure.net/"), new DefaultAzureCredential());
    var secret = secretClient.GetSecret(secretName);
    return secret.Value.Value;
}

1.2 在应用启动时更新配置

修改Global.asax.cs的Application_Start方法，启动时执行一次配置替换：

using System.Reflection;
using Microsoft.Azure.KeyVault;
using Microsoft.Azure.Services.AppAuthentication;

protected void Application_Start()
{
    AreaRegistration.RegisterAllAreas();
    FilterConfig.RegisterGlobalFilters(GlobalFilters.Filters);
    RouteConfig.RegisterRoutes(RouteTable.Routes);
    BundleConfig.RegisterBundles(BundleTable.Bundles);

    // 加载Key Vault连接字符串并更新配置
    UpdateDbConnectionString();
}

private void UpdateDbConnectionString()
{
    try
    {
        var newConnString = GetDbConnectionStringFromKeyVault();
        var targetConn = ConfigurationManager.ConnectionStrings["MyDbConnection"]; // 对应web.config中原连接字符串的名称

        if (targetConn != null)
        {
            // 通过反射修改只读的ConnectionStrings集合
            var readOnlyField = typeof(ConfigurationElement).GetField("_bReadOnly", BindingFlags.Instance | BindingFlags.NonPublic);
            readOnlyField.SetValue(targetConn, false);
            
            targetConn.ConnectionString = newConnString;
            
            readOnlyField.SetValue(targetConn, true);
        }
    }
    catch (Exception ex)
    {
        // 异常处理：记录日志，可选回退到web.config默认值或终止启动
        System.Diagnostics.Trace.TraceError("从Key Vault加载连接字符串失败: " + ex.Message);
    }
}

效果说明

原有代码中ConfigurationManager.ConnectionStrings["MyDbConnection"].ConnectionString的调用会自动获取更新后的值，无需修改业务代码。

方案2：依赖注入解耦配置获取（适合需扩展的场景） #

2.1 定义连接字符串提供接口与实现

public interface IConnectionStringProvider
{
    string GetDbConnectionString();
}

public class KeyVaultConnectionStringProvider : IConnectionStringProvider
{
    private readonly string _connectionString;

    public KeyVaultConnectionStringProvider()
    {
        _connectionString = FetchConnectionStringFromKeyVault();
    }

    private string FetchConnectionStringFromKeyVault()
    {
        var keyVaultName = ConfigurationManager.AppSettings["AzureKeyVaultName"];
        var secretName = ConfigurationManager.AppSettings["DbConnectionSecretName"];
        var secretClient = new SecretClient(new Uri($"https://{keyVaultName}.vault.azure.net/"), new DefaultAzureCredential());
        return secretClient.GetSecret(secretName).Value.Value;
    }

    public string GetDbConnectionString()
    {
        return _connectionString;
    }
}

2.2 注册依赖注入（以Unity为例）

先通过NuGet安装Unity.Mvc5，然后修改Global.asax.cs：

using Unity;
using Unity.Mvc5;

protected void Application_Start()
{
    // 其他初始化代码...

    var container = new UnityContainer();
    // 注册为单例，确保只从Key Vault拉取一次
    container.RegisterType<IConnectionStringProvider, KeyVaultConnectionStringProvider>(new ContainerControlledLifetimeManager());
    DependencyResolver.SetResolver(new UnityDependencyResolver(container));
}

2.3 在业务代码中注入使用

public class HomeController : Controller
{
    private readonly IConnectionStringProvider _connProvider;

    // 构造函数注入
    public HomeController(IConnectionStringProvider connProvider)
    {
        _connProvider = connProvider;
    }

    public ActionResult Index()
    {
        var connString = _connProvider.GetDbConnectionString();
        // 使用连接字符串操作数据库
        return View();
    }
}

注意事项 #

• 确保应用的托管标识/服务主体拥有Key Vault的Secret Get权限，否则会访问失败。
• 禁止修改物理web.config文件：修改会触发应用域重启，导致内存状态丢失，不符合"仅启动时执行一次"的需求。
• 异常处理需根据业务场景选择：可回退到web.config默认连接字符串，或记录日志后终止应用启动。

内容的提问来源于stack exchange，提问作者Jashvita