FluentMigrator搭配EF Core用Azure托管身份连SQL报空指针如何解决

异常根因 #

空指针异常根因为当前使用的连接字符串配置了Active Directory Device Code Flow认证方式，该方式需要人机交互完成设备码验证，无法在Azure App Service的无交互运行环境中正常执行，因此抛出空指针。注释FluentMigrator注册后应用可以正常运行，说明应用本身的数据库访问逻辑已经正确适配了托管身份认证，仅FluentMigrator的注册配置没有兼容该认证模式。

解决步骤 #

1. 替换连接字符串

将原来的Device Code Flow连接字符串替换为托管身份专用的连接字符串：

"Server=tcp:<server-name>.database.windows.net;Authentication=Active Directory Managed Identity; Database=<database-name>;"

如果使用的是用户分配托管身份，需要额外在连接字符串中追加User Id=<托管身份客户端ID>字段，系统分配托管身份无需添加。

2. 修改FluentMigrator注册逻辑

不要直接传入连接字符串，改为配置自定义连接工厂，提前为数据库连接注入Azure AD托管身份令牌，需要先确保已安装Azure.Identity NuGet包：

using Azure.Identity;
using Microsoft.Data.SqlClient;

public void ConfigureServices(IServiceCollection services)
{
    string databaseConnectionString = "替换为上一步的托管身份连接字符串";
    // 配置托管身份凭据
    var azureCredential = new DefaultAzureCredential(new DefaultAzureCredentialOptions
    {
        // 仅用户分配托管身份需要打开下方注释，填入对应客户端ID
        // ManagedIdentityClientId = "你的用户分配托管身份客户端ID"
    });

    services.AddFluentMigratorCore()
            .ConfigureRunner(rb => rb
                .AddSqlServer()
                // 替换原有WithGlobalConnectionString配置，改用自定义连接工厂
                .WithConnectionFactory(() =>
                {
                    var sqlConn = new SqlConnection(databaseConnectionString);
                    // 为数据库连接预分配Azure AD访问令牌
                    var tokenContext = new Azure.Core.TokenRequestContext(new[] { "https://database.windows.net/.default" });
                    sqlConn.AccessToken = azureCredential.GetToken(tokenContext).Token;
                    return sqlConn;
                })
                .ScanIn(typeof(Startup).Assembly).For.Migrations());
}

3. 额外检查项

• 确保Web应用的托管身份已被分配SQL数据库的对应权限，迁移操作至少需要db_ddladmin、db_datawriter、db_datareader权限
• 升级Microsoft.Data.SqlClient到最新稳定版，避免旧版本的托管身份兼容bug
• 本地开发时DefaultAzureCredential会自动读取VS/az cli已登录的账号凭据，无需额外修改配置即可本地测试

内容的提问来源于stack exchange，提问作者bomortensen