如何从Key Vault获取Service Bus连接字符串配置ServiceBusTrigger

核心原则：不要修改ServiceBusTrigger特性上的Connection参数配置，也不要试图在函数执行阶段手动给触发器传连接字符串。
触发器的连接字符串是在函数宿主启动阶段就完成解析绑定的，特性的参数要求是编译期常量，不支持传入运行时动态计算的值，最稳妥的实现是直接把Key Vault接入函数的配置管道，让内置的配置系统自动从Key Vault拉取对应键的值，对原有触发器代码零侵入。

方案1：零代码配置（推荐） #

不需要写任何重构代码，直接在函数应用的配置项中添加Key Vault引用即可：

• 保留原有触发器代码完全不动：

public async Task Process([ServiceBusTrigger(Connection = "connectionString")]Message message,
           MessageReceiver messageReceiver,
           string lockToken,
           ExecutionContext context)
{
    // 业务逻辑不需要调整
}

• 找到函数应用的应用设置项，把键为connectionString的配置值替换为Key Vault引用语法：

@Microsoft.KeyVault(SecretUri=https://<你的Key Vault实例名>.vault.azure.net/secrets/<connectionStringKey>/)

• 给函数应用的托管标识（本地调试时为你当前登录的Azure账号）分配Key Vault的Key Vault Secrets User权限，保证运行时有读取Secret的权限。

配置完成后运行时会自动从Key Vault拉取对应连接字符串给触发器使用，和之前从应用设置读值的体验完全一致。

方案2：代码接入配置管道 #

如果需要在应用启动阶段自定义Key Vault的取值逻辑，可以在函数启动配置阶段把Key Vault作为配置源接入：

• 触发器代码保持原样不需要修改
• 在函数项目中添加启动类，把Key Vault接入配置构建管道：

using Azure.Identity;
using Microsoft.Azure.Functions.Extensions.DependencyInjection;
using Microsoft.Extensions.Configuration;
using System;
using System.Collections.Generic;

[assembly: FunctionsStartup(typeof(FunctionApp.Startup))]
namespace FunctionApp
{
    public class Startup : FunctionsStartup
    {
        public override void ConfigureAppConfiguration(IFunctionsConfigurationBuilder builder)
        {
            // 先读取已有的基础配置
            var tempConfig = builder.ConfigurationBuilder.Build();
            // 接入Key Vault配置源
            var keyVaultUri = new Uri("<你的Key Vault地址，即你示例代码中的keyvaulturl>");
            builder.ConfigurationBuilder.AddAzureKeyVault(
                keyVaultUri,
                new DefaultAzureCredential()
            );
            
            // 如果你Key Vault中存储连接字符串的Secret名不是"connectionString"，可以加一层映射
            // var builtConfigWithKv = builder.ConfigurationBuilder.Build();
            // builder.ConfigurationBuilder.AddInMemoryCollection(new Dictionary<string, string>
            // {
            //     {"connectionString", builtConfigWithKv["<你的connectionStringKey>"]}
            // });
        }
    }
}

• 同样需要保证运行时身份有Key Vault的Secret读取权限。

避坑说明 #

你示例中写的_keyVault.GetValue("keyvaulturl", "connectionStringKey")方法，仅适合在函数业务逻辑执行阶段手动读取Key Vault值使用，不能用来给触发器的Connection参数赋值：

• 触发器绑定发生在函数方法执行之前，方法体里的取值逻辑执行时，触发器早就完成初始化了，时机不对
• ServiceBusTrigger的Connection参数是特性的属性，只支持传入编译期常量，无法传入运行时动态计算的结果

内容的提问来源于stack exchange，提问作者Ben