Azure DevOps流水线PowerShell访问安全文件加载.cer证书报错求解

核心报错原因 #

• 第一点：单引号字符串无法解析流水线内置变量
  PowerShell 中单引号包裹的字符串为字面量字符串，不会解析任何内置占位符、变量，你代码里写的$(Agent.TempDirectory)会被直接当作路径的一部分拼接，系统自然找不到对应路径的证书文件。
• 第二点（非必现但需注意）：如果后续有跨代理平台（比如切换到Windows代理）的需求，硬编码/作为路径分隔符可能会报错，建议用.NET 路径类或者PowerShell内置的路径拼接命令处理。

修复方案 #

场景1：在流水线YAML中写内联PowerShell脚本 #

推荐优先使用环境变量取值，兼容性更高：

# 先拼接合法的证书路径
$certPath = Join-Path -Path $env:AGENT_TEMPDIRECTORY -ChildPath "mycert.cer"
# 验证路径存在再加载证书，方便排错
if (-not (Test-Path $certPath)) {
    throw "证书文件不存在：$certPath"
}
$Certificate = [System.Security.Cryptography.X509Certificates.X509Certificate2]::new($certPath)

如果要直接用流水线变量占位符，把单引号换成双引号即可：

$Certificate = [System.Security.Cryptography.X509Certificates.X509Certificate2]::new("$(Agent.TempDirectory)/mycert.cer")

场景2：调用外部独立的.ps1脚本文件 #

流水线不会解析外部脚本内的$(Agent.TempDirectory)占位符，两种处理方式：

1. 脚本内直接读取环境变量，代码和上面内联脚本的写法完全一致
2. 调用脚本时把路径作为参数传入，YAML示例：

- pwsh: ./load-cert.ps1 -CertPath $(Agent.TempDirectory)/mycert.cer

额外排查点 #

如果修复路径后还是报错，可在脚本中添加下行代码打印文件权限，排查Linux代理下的读取权限问题：

ls -l $env:AGENT_TEMPDIRECTORY/*.cer

内容的提问来源于stack exchange，提问作者vivek mishra