DefaultAzureCredential 是 Azure 托管环境中读取 Key Vault 机密的最简路径，自动尝试托管标识、VS 登录、CLI 等凭据链；需配访问策略或 RBAC 权限，并建议缓存机密值以减少调用。
用 DefaultAzureCredential 读取 Key Vault 机密最简路径
绝大多数 Azure 托管环境（如 App Service、Azure Functions、VM 上的托管标识）下，DefaultAzureCredential 是首选——它自动尝试多种凭据链（托管标识、VS 登录、CLI 凭据等），无需硬编码凭据或手动管理 token 生命周期。
实操建议：
- 安装
Azure.Identity和Azure.Security.KeyVault.SecretsNuGet 包（v4.5+ 推荐） - 初始化客户端时直接传入
new Uri("https://your-vault.vault.azure.net/")和new DefaultAzureCredential() - 调用
GetSecretAsync("MySecretName")即可，返回KeyVaultSecret，其Value属性即明文机密 - 若本地开发时报
ManagedIdentityCredential authentication failed，说明未启用对应登录方式；此时可临时设环境变量AZURE_USERNAME+az login，或改用VisualStudioCredential
本地调试时绕过 DefaultAzureCredential 失败的替代方案
当 DefaultAzureCredential 在本地找不到有效凭据（比如没装 VS 或 CLI，或账号无 Key Vault 权限），又不想改代码逻辑，可用 ChainedTokenCredential 显式组合多个凭据源。
示例片段：
var credential = new ChainedTokenCredential(
new VisualStudioCredential(),
new AzureCliCredential(),
new EnvironmentCredential() // 读取 AZURE_CLIENT_ID / AZURE_CLIENT_SECRET 等
);
var client = new SecretClient(new Uri("https://your-vault.vault.azure.net/"), credential);
注意点：
-
EnvironmentCredential要求你手动设置AZURE_CLIENT_ID、AZURE_CLIENT_SECRET、AZURE_TENANT_ID—— 这类凭据仅限测试，严禁提交到代码或 CI 环境 - 顺序很重要：链中靠前的凭据失败才试下一个，所以把最常用/最安全的放前面
- 避免在生产代码里写死
ClientSecretCredential，它会把密钥暴露在内存中且无法轮换
权限配置错误导致 “Forbidden” 或 “Unauthorized” 的常见原因
即使代码和网络通，GetSecretAsync 报 403 Forbidden 或 401 Unauthorized，90% 是权限没配对。Key Vault 权限是独立于 RBAC 的访问策略（Access Policy）或更现代的 RBAC 角色（如 Key Vault Secrets User）。
检查要点：
- 如果是托管标识（如 App Service Identity），必须在 Key Vault 的“访问策略”中添加该标识，并勾选
Get（仅 Secret 操作）或Get, List - 如果用服务主体（Service Principal），确保其对象 ID 正确填入访问策略；RBAC 方式则需在 Key Vault 资源上直接分配
Key Vault Secrets User角色 - 确认 Key Vault 的防火墙未启用“拒绝所有流量”，或已将应用所在区域 IP 加入允许列表（尤其本地调试时启用了防火墙）
- 使用
az keyvault show --name your-vault检查enableSoftDelete和enablePurgeProtection状态，某些旧 SDK 在软删除启用时会报错（升级 SDK 可解决）
缓存机密避免高频调用 Key Vault 的实践方式
Key Vault 有请求频次限制（约 10K/10 分钟/租户），且每次调用都有延迟（~100–300ms）。生产环境不应每次 HTTP 请求都去拉一次 GetSecretAsync。
推荐做法：
- 用
MemoryCache缓存机密值，设置合理过期时间（如 24 小时），并配合后台刷新（PostEvictionCallbacks或定时器）主动更新 - 避免用静态字段缓存——IIS 应用池回收、Azure App Service 启停都会丢失
- 若机密变更频率低（如数据库连接字符串），可在启动时一次性加载进
IConfiguration，后续通过IOptionsMonitor<T>订阅变化（需自定义重载逻辑） - 不要缓存
SecretClient实例本身——它是线程安全且轻量的，但缓存它不会减少 Key Vault 调用次数
Key Vault 集成真正的复杂点不在代码行数，而在权限边界、凭据生命周期与缓存语义的协同——这三个地方任一出错，都会让“安全读取”变成“要么读不到，要么不安全”。
