能否在VSTS中枚举变量组并实现密钥值替换文本占位符？

没问题，我帮你搞定这个需求——完全可以在发布阶段用PowerShell脚本实现，既不会把解密值塞进构建工件，也能根据不同环境自动替换占位符。下面是一步步的实现方案：

1. 前期准备 #

• 变量组配置：在Azure DevOps的变量组里创建机密变量（记得勾选「保存为机密」），变量名最好和文件里的占位符一一对应，比如占位符是{{DbConnectionString}}，变量名就设为DbConnectionString，这样脚本处理起来更省心。
• 模板文件准备：在构建阶段生成带占位符的文本文件（比如appsettings.template.json），直接作为工件发布就行，不用做任何替换操作。

2. 编写PowerShell替换脚本 #

这个脚本会自动读取发布管道中加载的机密变量，然后批量替换模板文件里的占位符。你可以直接用内联脚本，或者把脚本存到代码库中：

# 替换成你的模板文件路径（从工件中获取的路径）
$templatePath = "$(System.DefaultWorkingDirectory)/YourBuildArtifact/appsettings.template.json"
# 生成临时替换后的文件（避免修改原始工件）
$outputPath = "$(System.DefaultWorkingDirectory)/YourBuildArtifact/appsettings.json"

# 复制模板文件到临时文件
Copy-Item -Path $templatePath -Destination $outputPath -Force

# 定义需要替换的变量名列表（和变量组里的机密变量名一致）
$targetVariables = @("DbConnectionString", "ApiSecretKey", "StorageAccountKey")

foreach ($varName in $targetVariables) {
    # 获取解密后的变量值（Azure DevOps会自动解密机密变量）
    $decryptedValue = [Environment]::GetEnvironmentVariable($varName)
    # 构造占位符（比如{{DbConnectionString}}）
    $placeholder = "{{$varName}}"

    # 执行替换（用Regex转义避免特殊字符干扰）
    (Get-Content -Path $outputPath -Raw) -replace [regex]::Escape($placeholder), $decryptedValue | Set-Content -Path $outputPath -Force
    Write-Host "已替换占位符：$placeholder"
}

# 可选：调试时输出替换后的内容（注意不要输出敏感值！）
# Write-Host "替换后的文件内容："
# Get-Content -Path $outputPath

脚本说明 #

• 我们先复制模板文件到临时文件，避免修改原始工件里的文件，保证工件的纯净性；
• 用[Environment]::GetEnvironmentVariable获取解密后的变量值，Azure DevOps会自动处理机密变量的解密，无需额外操作；
• 用[regex]::Escape处理占位符，防止占位符里的特殊字符（比如$、.）导致正则替换出错；
• 替换后的文件只在当前发布作业的代理机器上存在，作业结束后会被自动清理（微软托管代理默认会清理，自托管代理可以配置清理策略）。

3. 发布管道配置 #

• 添加一个「PowerShell」任务，放在需要使用替换后文件的步骤之前；
• 如果用内联脚本，直接把上面的代码粘贴进去；如果脚本存在代码库，选择「文件路径」并指定脚本位置；
• 在发布管道的「变量」选项卡中，添加你需要的变量组，确保变量组的权限允许发布管道访问；
• 任务的「运行时机」：比如在执行应用部署、脚本运行等需要配置文件的步骤前，先执行这个替换任务。

4. 关键注意事项 #

• 绝对不在构建阶段处理：构建阶段只负责生成带占位符的模板文件，替换操作全部放在发布阶段，避免解密值被打包进工件；
• 敏感值安全：不要在脚本中输出解密后的变量值（调试时可以临时打开，用完记得注释掉），Azure DevOps会自动屏蔽日志中的机密变量；
• 环境适配：不同环境的变量组可以单独配置，发布时选择对应环境的变量组即可自动替换为对应环境的解密值；
• 代理清理：如果用自托管代理，记得配置作业完成后的清理策略，确保临时文件被删除，避免敏感数据泄露。

内容的提问来源于stack exchange，提问作者Matt W