如何将Entity Framework DB First连接字符串适配Azure Key Vault？

核心问题原因 #

Entity Framework DB First 模式的连接字符串是包含元数据路径+SQL连接串的复合结构，直接存入Key Vault时会遇到两个常见坑：一是XML转义字符处理不当，二是应用服务连接字符串类型配置错误。

操作步骤 #

1. 清理连接字符串内容 #

去掉原来配置文件中连接字符串的XML属性外壳，仅保留connectionString属性引号内的实际值，同时把所有"转义符替换为单引号'避免双引号嵌套冲突，清理后格式如下：

metadata=res://*/Models.{Project}.csdl|res://*/Models.{Project}.ssdl|res://*/Models.{Project}.msl;provider=System.Data.SqlClient;provider connection string='data source={datasource};initial catalog={db};persist security info=True;user id={id};password={password};MultipleActiveResultSets=True;App=EntityFramework'

不需要保留外层双引号，也不要带providerName属性，该属性是配置文件中单独定义的字段。

2. 存入Azure Key Vault #

将上面清理完成的完整字符串作为密钥值直接存入Key Vault，不要添加任何额外的转义字符、引号或者标签。

3. 配置Azure应用服务 #

打开应用服务的「配置」页面做如下设置：

• 新增连接字符串，名称和代码中引用的EF上下文连接字符串名称完全一致
• 值填写Key Vault引用，格式为@Microsoft.KeyVault(SecretUri=你的密钥完整URI)
• 关键配置：连接字符串类型选择Custom，不要选SQL Server等预定义类型，预定义类型会自动改写连接串结构，破坏EntityClient需要的格式
• 保存配置后重启应用服务生效

本地开发兼容配置 #

本地调试用的配置文件直接用清理后的连接串即可，保留providerName属性：

<connectionStrings>
  <add name="你的EF上下文名称" 
       connectionString="metadata=res://*/Models.{Project}.csdl|res://*/Models.{Project}.ssdl|res://*/Models.{Project}.msl;provider=System.Data.SqlClient;provider connection string='data source={datasource};initial catalog={db};persist security info=True;user id={id};password={password};MultipleActiveResultSets=True;App=EntityFramework'" 
       providerName="System.Data.EntityClient" />
</connectionStrings>

注意提前确认应用服务的托管标识已经分配了Key Vault的「机密获取」权限，这是基础权限要求。

内容的提问来源于stack exchange，提问作者Morks