如何在Azure Container Apps中正确引用已配置的secret

在应用级别创建的Secret默认不会自动注入容器运行环境，未做映射配置时，容器内环境变量查不到对应值、找不到secretref配置入口属于正常情况，按以下步骤配置即可正常使用。

门户端配置Secret到环境变量的映射 #

secretref是底层配置属性，不需要手动编写配置项，在门户编辑容器时通过可视化选项即可完成配置，操作路径如下：

• 进入目标Container Apps实例详情页，在左侧菜单栏「应用程序」分类下选择「容器」
• 选中运行中的业务容器，点击「编辑」
• 下拉页面找到「环境变量」配置区
• 点击「添加」新增环境变量：
  • 名称字段填写代码中要读取的环境变量标识，例如DB_CONN_STR
  • 类型下拉选择「引用机密」（即Secret引用）
  • 值下拉列表会自动加载当前应用已创建的所有Secret，选中你需要关联的目标Secret即可
• 点击页面底部「保存」，等待容器新版本滚动部署完成

Node.js代码侧引用方式 #

映射完成后，Secret的值会以标准环境变量的形式注入容器运行时，和普通自定义环境变量读取逻辑完全一致，不需要额外引入SDK：

// 读取数据库连接字符串示例
const dbConnectionString = process.env.DB_CONN_STR;

// 后续可直接使用该变量初始化数据库客户端

配置有效性验证 #

部署完成后可通过两种方式确认配置生效：

• 在Container Apps详情页左侧「监控」分类下选择「控制台」，进入容器终端执行printenv命令，若能查询到你配置的环境变量名和对应值，说明映射成功
• 在业务代码中增加临时判断逻辑，检测对应环境变量是否存在，通过应用日志输出检测结果即可

注意：不要在业务日志中明文打印Secret的完整值，验证完成后及时删除调试代码

注意事项 #

• 若后续更新了Secret的内容，需要重新触发容器部署/重启，容器内才能拿到更新后的值，Secret不会自动热更新到运行中的容器
• 多副本部署场景下，要等所有副本完成新版本滚动更新后，所有实例才能正常读取到映射的Secret值
• 敏感配置不要直接以明文环境变量的形式配置，统一走Secret引用的方式，避免凭据泄露

内容的提问来源于stack exchange，提问作者Glenn Scott