无法读取VSTS Online发布机密变量的技术问题求助

我来帮你解决这个VSTS机密变量的读取问题——其实核心是机密变量的安全设计导致它和普通变量的访问规则不一样，虽然微软文档说明它能被访问，但得用正确的姿势：

1. PowerShell脚本中读取机密变量的正确方法 #

机密变量默认不会自动注入到系统环境变量（这是为了避免无意泄露），所以你用$env:SQLAdministratorPassword肯定拿不到值。有两种可靠的方式：

• 通过脚本参数传递：在后续PowerShell任务的「脚本参数」里直接传入-SQLPassword $(SQLAdministratorPassword)，然后在脚本里用Param([string]$SQLPassword)接收，这样就能正常使用变量值了。
• 手动映射环境变量：如果一定要用$env:的方式，在后续任务的「环境变量」配置里添加一条映射，比如SQL_ADMIN_PWD=$(SQLAdministratorPassword)，之后脚本里就能用$env:SQL_ADMIN_PWD读取。注意：这种方式要确保任务开启了「隐藏敏感变量」，避免值在日志中泄露。

2. 代理阶段步骤中使用机密变量 #

直接用$(SQLAdministratorPassword)是完全可行的，只要你的任务支持变量替换（比如ARM模板部署、Azure CLI任务等）。VSTS会在执行任务时自动解密变量，并通过安全通道传递给代理，你不用额外做什么，直接引用就行。

3. 脚本设置的机密变量跨任务访问注意 #

如果你是用Write-Host "##vso[task.setvariable...]设置的机密变量，默认只能在同一个作业的后续任务里访问。如果要跨作业使用，需要把变量标记为输出变量：

Write-Host "##vso[task.setvariable variable=SQLAdministratorPassword;issecret=true;isoutput=true]$secretValue"

然后在后续作业的变量引用里写$(PreviousJobName.TaskName.SQLAdministratorPassword)（替换成实际的作业名和任务名）。

4. 快速排查小技巧 #

• 不要尝试用Write-Host输出机密变量值，VSTS会自动把它替换成***，这是正常的安全机制，说明变量已经正确设置。
• 确认你的代理服务账号有足够权限访问Key Vault（不过你已经能成功获取Secret，这步应该没问题）。

内容的提问来源于stack exchange，提问作者Sergey