Azure容器应用：机密引用填充环境变量失败问题排查

我正在使用GitHub Actions将.NET 9 API部署到Azure容器应用，希望通过机密引用将数据库连接字符串注入为环境变量。GitHub工作流先设置机密，再部署应用，相关步骤如下：

- name: Set secrets in Azure Container App (API)
  run: |
    az containerapp secret set \
      --name ${{ env.CONTAINER_APP_NAME_API }} \
      --resource-group ${{ env.RESOURCE_GROUP }} \
      --secrets db-connection-string="${{ secrets.DB_CONNECTION_STRING }}"

- name: Update env vars in Container App (API)
  run: |
    az containerapp update \
      --name ${{ env.CONTAINER_APP_NAME_API }} \
      --resource-group ${{ env.RESOURCE_GROUP }} \
      --set-env-vars ASPNETCORE_ENVIRONMENT=${{ env.ENVIRONMENT }} \
                      ConnectionStrings__XXX=secretref:db-connection-string

- name: Deploy to Azure Container App (API)
  uses: azure/container-apps-deploy-action@v1
  with:
    imageToDeploy: xxx.azurecr.io/xxx-api-service:${{ github.sha }}
    resourceGroup: ${{ env.RESOURCE_GROUP }}
    containerAppName: ${{ env.CONTAINER_APP_NAME_API }}
    environmentVariables: |
      ASPNETCORE_ENVIRONMENT=${{ env.ENVIRONMENT }}
      ConnectionStrings__XXX=secretref:db-connection-string

容器应用中已存在db-connection-string机密且值正确，环境变量引用格式为ConnectionStrings__XXX=secretref:db-connection-string，代码中使用builder.Configuration.GetConnectionString("XXX")获取。我已确认机密存在且部署步骤在设置机密之后执行，但运行时容器内的环境变量未被填充，应用无法连接数据库，日志显示ConnectionStrings__XXX缺失或为空。

已尝试的操作 #

• 验证容器应用中的机密存在
• 同时使用部署动作和az containerapp update设置环境变量
• 通过更新环境变量强制生成新版本
• 检查机密和环境变量名称是否存在拼写错误
• 确保部署步骤在设置机密之后执行

解决方案 #

1. 修正azure/container-apps-deploy-action的环境变量格式 #

Azure容器应用部署动作的environmentVariables参数对机密引用的格式要求与az containerapp update不同，不能直接使用secretref:前缀，需改用{{secret:机密名称}}格式。将部署步骤的环境变量配置修改为：

environmentVariables: |
  ASPNETCORE_ENVIRONMENT=${{ env.ENVIRONMENT }}
  ConnectionStrings__XXX={{secret:db-connection-string}}

2. 避免重复设置环境变量 #

你同时使用了az containerapp update和部署动作设置环境变量，可能导致配置冲突或覆盖。建议只保留一种方式：

• 若保留部署动作，删除Update env vars in Container App (API)步骤，确保部署动作的环境变量格式正确；
• 若保留az cli步骤，删除部署动作中的environmentVariables参数，避免重复配置。

3. 确认容器应用修订版本生效 #

部署后需检查Azure门户中容器应用的修订版本，确保最新版本已应用了正确的环境变量和机密引用。可通过以下命令手动触发新版本生成：

az containerapp revision restart --name <容器应用名称> --resource-group <资源组名称>

4. 检查.NET配置优先级与读取逻辑 #

确认builder.Configuration.GetConnectionString("XXX")的读取逻辑：

• .NET中ConnectionStrings__XXX环境变量会自动映射到配置中的ConnectionStrings:XXX，但需确保没有其他配置源（如appsettings.json）的同名配置覆盖环境变量；
• 确认代码中配置构建顺序，确保环境变量的优先级高于文件配置（默认情况下环境变量优先级更高，若手动调整过顺序需检查）。

5. 验证机密名称的大小写一致性 #

Azure容器应用的机密名称区分大小写，需确保引用的db-connection-string与实际创建的机密名称完全一致（包括大小写、连字符等）。可通过以下命令查看容器应用的机密列表：

az containerapp secret list --name <容器应用名称> --resource-group <资源组名称> --output table

内容的提问来源于stack exchange，提问作者SDG6