如何在公开GitHub仓库中隐藏ASP.NET Core appsettings.json的数据库凭证

方案1：配置占位符+CI/CD变量注入（最适配现有流程） #

• 清空appsettings.json内的所有敏感凭证，对应字段替换为无意义的占位符，示例修改后内容：

{
  "ConnectionStrings": {
    "DefaultConnection": "Server=PLACEHOLDER;Database=PLACEHOLDER;Uid=PLACEHOLDER;Pwd=PLACEHOLDER;"
  },
  // 其余非敏感配置保持不变
}

• 进入GitHub仓库的「Settings」-「Secrets and variables」-「Actions」页面，新建对应敏感凭证的保密变量，比如DB_CONN_STR，值填写真实的数据库连接串。
• 调整CI/CD工作流配置文件（通常存放在.github/workflows/目录下的yml文件），在构建步骤前新增配置替换步骤，示例配置：

- name: 替换配置敏感值
  uses: microsoft/variable-substitution@v1
  with:
    files: "appsettings.json"
  env:
    ConnectionStrings.DefaultConnection: ${{ secrets.DB_CONN_STR }}

• 该方案完全不需要修改.gitignore规则，提交到仓库的appsettings.json仅含占位符无敏感信息，CI/CD运行时会自动注入真实值，不影响原有部署逻辑。

方案2：利用ASP.NET Core原生分层配置机制 #

• 直接删除appsettings.json内的所有敏感字段，ASP.NET Core默认配置优先级为：环境变量 > appsettings.{运行环境}.json > appsettings.json，程序运行时会自动读取环境变量中同名的配置项，优先级高于文件内的配置。
• 本地开发时可使用dotnet user-secrets工具管理本地敏感配置，不会被提交到仓库；CI/CD部署时直接将GitHub Secrets中存储的凭证设置为部署环境的环境变量即可。

方案3：敏感字段加密存储 #

• 若必须在appsettings.json中保留完整配置结构，可使用ASP.NET Core内置的Data Protection API或对称加密工具，将敏感字段加密后再提交到仓库。
• 将解密密钥存储为GitHub Secrets，CI/CD运行时新增解密步骤，读取密钥对配置文件中的敏感字段解密后再执行后续构建部署逻辑。该方案维护成本较高，非必要场景不推荐使用。

内容的提问来源于stack exchange，提问作者shan127