如何在经典Azure DevOps Server流水线的Visual Studio Build任务中使用机密变量

由于Azure DevOps的机密变量不会自动暴露给非脚本类构建任务，针对Visual Studio Build任务的场景，有以下几种可行方案：

方案一：通过MSBuild参数直接传递 #

Visual Studio Build任务本质是调用MSBuild执行构建，因此可以将机密变量作为MSBuild属性传递给项目：

• 编辑Visual Studio Build任务，在MSBuild参数字段中添加：/p:Foo_License=$(Foo_License)
• 在项目代码或配置中读取该MSBuild属性：
  比如在项目的.csproj文件中配置App.config的自动替换，将属性值写入配置项：

  <ItemGroup>
    <None Update="App.config">
      <TransformOnBuild>true</TransformOnBuild>
    </None>
  </ItemGroup>
  

  然后在App.config中添加占位符：

  <appSettings>
    <add key="Foo_License" value="$(Foo_License)" />
  </appSettings>
  

  程序集代码中即可通过ConfigurationManager.AppSettings["Foo_License"]读取到该值。

方案二：前置脚本生成临时许可证文件 #

通过脚本任务将机密变量写入临时文件，再让构建项目读取该文件：

• 添加PowerShell内联脚本任务（放在Visual Studio Build任务之前），脚本内容：

  # 把机密变量写入临时文件
  $licenseContent = "$(Foo_License)"
  $tempPath = "$(Build.SourcesDirectory)\TempLicense.txt"
  Set-Content -Path $tempPath -Value $licenseContent
  

• 配置项目代码读取上述临时文件路径的内容完成许可证验证
• 构建完成后添加额外的脚本任务删除临时文件，避免许可证残留：

  Remove-Item -Path "$(Build.SourcesDirectory)\TempLicense.txt" -Force
  

注意事项 #

• 若使用MSBuild参数传递，需避免开启过于详细的构建日志，防止机密变量在日志中暴露
• 临时文件方案必须确保构建后清理文件，避免构建服务器上留下敏感信息

内容的提问来源于stack exchange，提问作者Lennart