Azure DevOps Pipeline嵌套变量：通过参数引用密钥保管库密码

核心问题 #

Azure DevOps的表达式执行顺序导致直接嵌套$(${{parameters.MySqlUser}})无效：${{...}}是编译时表达式（Pipeline运行前解析），而$(...)是运行时变量引用，两者无法直接嵌套使用。

解决方案1：使用运行时表达式动态访问变量 #

在需要引用密码的位置，用运行时表达式$[variables['']]包裹编译时解析的参数值，语法如下：

# 示例：在后续任务中引用密码
- script: |
    echo "SQL密码：$([variables['${{ parameters.MySqlUser }}']])"
  displayName: '输出SQL密码'

原理：

1. 编译阶段，${{ parameters.MySqlUser }}被替换为实际传入的用户名（如fred）
2. 运行阶段，$[variables['fred']]会动态查找管道中名为fred的变量（即从Key Vault下载的密码）

解决方案2：通过脚本将密码赋值给固定变量 #

如果觉得动态引用不够直观，可以在Key Vault任务后添加脚本任务，把动态名称的密码变量赋值给一个固定名称的变量，后续统一引用：

- task: AzureKeyVault@2
  inputs:
    azureSubscription: '你的Azure订阅'
    KeyVaultName: '你的密钥保管库名称'
    SecretsFilter: '${{ parameters.MySqlUser }}'
    RunAsPreJob: false

# 将动态名称的密码赋值给固定变量SqlPassword
- task: PowerShell@2
  inputs:
    targetType: 'inline'
    script: |
      # 管道变量会映射为大写、下划线替换点的环境变量
      $envVarName = "${{ parameters.MySqlUser }}".ToUpper().Replace('.', '_')
      $sqlPassword = Get-Item -Path "Env:\$envVarName" | Select-Object -ExpandProperty Value
      Write-Host "##vso[task.setvariable variable=SqlPassword;issecret=true]$sqlPassword"
  displayName: '获取SQL密码并设置固定变量'

# 后续任务直接引用固定变量
- script: |
    echo "SQL密码：$(SqlPassword)"
  displayName: '使用SQL密码'

注意事项 #

• 确保AzureKeyVault@2任务的SecretsFilter参数设置为${{ parameters.MySqlUser }}，仅下载需要的密钥，避免冗余
• 密码变量会被标记为机密，输出时会自动屏蔽，无需额外处理

内容的提问来源于stack exchange，提问作者Nikola R