如何为Azure不同部署槽配置不同的Web.config文件

算力阿峰

2026-5-19

这个坑我之前踩过也帮不少开发者捋顺过——核心问题就是部署槽默认会同步所有配置文件，包括你给staging加的认证规则。要解决这个，关键是把环境专属的配置和应用核心配置拆分开，不让它们跟着槽交换走。下面给你几个最实用的方案，按推荐度排序：

方案1：用Azure App Service的「槽位特定设置」（最省心）

Azure部署槽本身就自带了配置隔离的功能，专门解决这种环境差异化配置的问题：

先把Web.config里的认证相关配置（比如<authentication>节点、用户名密码这类参数）替换成环境变量引用，比如把硬编码的用户名改成%STAGING_AUTH_USER%，密码改成%STAGING_AUTH_PASS%。.NET框架会自动识别这种格式，从App Service的应用设置里读取对应的值。
打开Azure门户，找到你的App Service，进入「部署槽」：
- 先点进staging槽，打开「配置」>「应用设置」，添加你需要的认证相关变量，然后点击每个变量右侧的「锁形图标」，把它标记为槽位特定。这个标记的意思是：交换槽的时候，这个配置不会被同步到目标槽，每个槽保留自己的版本。
- 再点进production槽，要么不添加这些认证变量（让应用默认不启用认证），要么设置成production需要的配置（如果有的话）。
最后调整Web.config，让它通过环境变量来控制是否启用认证。比如可以用条件判断：如果存在STAGING_AUTH_USER变量，就启用认证，否则跳过。

方案2：使用Web.config变换（适合传统.NET项目）

如果你的项目是.NET Framework或者支持Web.config变换的类型，可以给staging槽单独做配置变换，部署时自动应用：

在项目根目录添加Web.Staging.config文件，里面只写staging需要的认证配置，比如：

<?xml version="1.0"?>
<configuration xmlns:xdt="http://schemas.microsoft.com/XML-Document-Transform">
  <system.web>
    <!-- 替换默认的认证配置为staging的Forms认证 -->
    <authentication mode="Forms" xdt:Transform="Replace">
      <forms loginUrl="~/Account/Login" timeout="2880">
        <credentials passwordFormat="Clear">
          <user name="test_staging_user" password="staging_pass_123" />
        </credentials>
      </forms>
    </authentication>
    <!-- 禁止匿名访问staging -->
    <authorization xdt:Transform="Replace">
      <deny users="?" />
    </authorization>
  </system.web>
</configuration>

部署的时候，针对staging槽选择应用这个变换文件，而production槽用原始的Web.config（不带认证限制）。如果用Azure DevOps或者GitHub Actions部署，记得在部署任务里配置好「配置变换」的选项，指定对应槽的变换文件。

方案3：部署后动态修改staging的Web.config（适合自定义流程）

如果你的部署流程是自己写脚本控制的，可以在部署到staging之后，自动给它的Web.config加上认证配置，production槽保持原样：

用Azure CLI或者PowerShell脚本，通过Kudu API或者Azure命令直接修改staging槽的Web.config。举个Azure CLI的简单例子：

# 下载staging槽的Web.config到本地
az webapp deploy --name your-app-name --slot staging --src-path ./temp-web.config --type static --dest-path /site/wwwroot/Web.config

# 本地修改Web.config，添加认证配置（这里可以用sed或者PowerShell的XML编辑命令）
# 比如用sed替换authorization节点：
sed -i 's/<authorization>.*<\/authorization>/<authorization><deny users="?" \/><\/authorization>/g' ./temp-web.config

# 把修改后的Web.config上传回staging槽
az webapp deploy --name your-app-name --slot staging --src-path ./temp-web.config --type static --dest-path /site/wwwroot/Web.config

这个方案需要维护脚本，但灵活性极高，适合复杂的配置场景。

额外提醒

尽量不要在Web.config里硬编码敏感信息（比如认证密码），用App Service的应用设置管理更安全，也更容易维护不同环境的配置。
每次交换槽之前，一定要用Azure门户的「预览交换」功能，先查看交换后的配置变化，确认production槽不会被意外加上认证规则，再执行正式交换。

内容的提问来源于stack exchange，提问作者Pedro