如何转换web.config的mailSettings，避免源码控制存储SMTP凭证

Hey Stephan, 刚好我在Azure DevOps（原VSTS）部署App Service时也碰到过SMTP凭证的管理问题，结合你的场景，给你几个实用的解决方案，都是我实际用过的：

这是我最推荐的方式，因为Azure原生支持把应用设置映射到.NET的配置系统，而且这些值是加密存储的，完全不用碰源码：

• 登录Azure门户，找到你的App Service，进入「配置」>「应用程序设置」
• 添加两个键值对：
  • 键：system.net/mailSettings/smtp/network/userName，值填你的SMTP用户名
  • 键：system.net/mailSettings/smtp/network/password，值填你的SMTP密码
• 你的Web.config里只需要保留基础配置，用户名和密码可以留空或者填占位符：

<system.net>
  <mailSettings>
    <smtp from="your-email@domain.com">
      <network host="smtp.yourprovider.com" port="587" enableSsl="true" userName="" password="" />
    </smtp>
  </mailSettings>
</system.net>

• 部署的时候，Azure会自动把这些应用设置注入到运行时的配置中，.NET会直接读取这些加密后的值，不需要修改任何VSTS部署流程

如果你的团队对密钥管理有更高要求，比如密钥需要定期轮换、权限严格控制，这个方案更合适：

• 先把SMTP的用户名和密码存入Azure Key Vault，设置好访问策略，让你的VSTS服务主体拥有「密钥/机密读取」权限
• 在VSTS中创建一个变量组，关联到Key Vault里的这两个机密（记得勾选「链接到Azure Key Vault」选项）
• 在你的VSTS发布管道的「Azure App Service Deploy」任务中，找到「应用设置」区域，直接引用变量组里的变量，比如$(SMTP_UserName)和$(SMTP_Password)，对应到App Service的应用设置键
• 这样密钥全程托管在Key Vault，VSTS里只有引用，不会明文存储，不同环境（开发/测试/生产）可以用不同的Key Vault或变量组，隔离性更好

如果你想延续目前用配置转换和变量替换的方式，也可以这么做：

• 在对应环境的转换文件（比如Web.Release.config）里添加替换规则：

<system.net>
  <mailSettings>
    <smtp>
      <network userName="#{SMTP_UserName}#" password="#{SMTP_Password}#" xdt:Transform="SetAttributes(userName,password)" />
    </smtp>
  </mailSettings>
</system.net>

• 在VSTS发布管道中，添加「替换配置中的变量」任务，或者在「Azure App Service Deploy」任务的「文件变换」里启用「XML变换」
• 在VSTS的变量里添加SMTP_UserName和SMTP_Password，并勾选「保密」选项（这样变量值不会在日志里暴露）
• 部署时，VSTS会自动用秘密变量的值替换配置文件里的占位符，最终部署到App Service的配置里不会包含明文凭证

额外注意点 #

• 不管用哪种方案，一定不要把明文凭证提交到源码仓库，这点你已经做得很对了
• App Service的应用设置优先级高于Web.config，所以即使Web.config里留空也不会影响运行
• 如果用Key Vault，记得定期轮换密钥，并最小化访问策略的权限，只给必要的主体授权

内容的提问来源于stack exchange，提问作者Stephan Lonntorp