如何在Google Cloud Build中正确配置多环境并注入MongoDB连接串

前置准备：安全存储敏感配置 #

MongoDB连接串属于敏感信息，禁止明文写在构建配置或代码仓库中，首先将三套环境的连接串存储到Google Cloud Secret Manager，密钥命名可按{环境标识}-mongo-uri规则设置，比如dev-mongo-uri、qa-mongo-uri、prod-mongo-uri，同时给Cloud Build默认服务账号授予Secret Manager Secret Accessor权限，确保构建流程有权限读取密钥。

方案1：触发器独立配置注入（推荐，适配你当前的多触发器架构） #

你已经为三个分支配置了独立的触发器，直接在每个触发器中关联对应环境的密钥即可：

• 进入对应环境的Cloud Build触发器编辑页，找到「高级」配置区域的「密钥」板块
• 选择对应环境的MongoDB连接串密钥，设置注入的环境变量名，比如MONGO_CONNECTION_URI
• 在你的cloudbuild.yaml中引用该环境变量，注入到构建产物即可

示例cloudbuild.yaml配置 #

steps:
  # 构建步骤示例，可根据你使用的技术栈调整镜像和命令
  - name: 'mcr.microsoft.com/dotnet/sdk:6.0' # 此处替换为你实际使用的构建镜像
    entrypoint: 'bash'
    args:
      - '-c'
      - |
        # 将连接串写入对应配置文件，C#项目可写入appsettings.json，Node项目可写入.env等
        echo "MongoDB:ConnectionString=$MONGO_CONNECTION_URI" >> appsettings.${_ENV}.json
        # 执行原有构建命令
        dotnet publish -c Release -o output
  # 后续部署步骤保持你原有逻辑不变
# 关联Secret Manager中的密钥
availableSecrets:
  secretManager:
    - versionName: projects/你的GCP项目ID/secrets/${_ENV}-mongo-uri/versions/latest
      env: 'MONGO_CONNECTION_URI'
# 自定义变量，每个触发器中修改为对应环境的标识dev/qa/prod即可
substitutions:
  _ENV: dev

方案2：按分支自动匹配环境配置 #

如果不想单独配置每个触发器的密钥，也可以在构建脚本中通过Cloud Build内置的$BRANCH_NAME变量自动识别环境，拉取对应连接串：

steps:
  - name: 'gcr.io/google.com/cloudsdktool/cloud-sdk'
    entrypoint: 'bash'
    args:
      - '-c'
      - |
        # 根据分支名匹配对应环境的密钥
        case $BRANCH_NAME in
          "dev") SECRET_NAME="dev-mongo-uri" ;;
          "qa") SECRET_NAME="qa-mongo-uri" ;;
          "prod") SECRET_NAME="prod-mongo-uri" ;;
        esac
        export MONGO_CONN_STR=$(gcloud secrets versions access latest --secret=$SECRET_NAME)
        # 写入配置文件后执行构建
        echo "MongoDB:ConnectionString=$MONGO_CONN_STR" >> appsettings.json
        dotnet publish -c Release -o output

补充说明 #

你提到的Azure构建时环境变量功能，在Google Cloud中对应触发器的「环境变量」和「密钥」配置能力，敏感配置必须通过Secret Manager关联，非敏感的普通配置可以直接在触发器的「环境变量」板块明文设置，构建过程中可以直接读取使用。

内容的提问来源于stack exchange，提问作者Tetsu