Spring应用无法从Vault注入数据库连接秘钥的问题排查求助

看起来你的Spring应用启动时没有正确从Vault中拉取到spring_datasource_url这个配置项，导致数据库驱动看到的还是未解析的占位符，才抛出了这个错误。我来帮你梳理几个可能的问题点，你可以逐一排查：

1. Vault KV路径与配置不匹配 #

你提到Vault中的KV路径是vault/secrets/backend/show/words/prod，而你的Spring Cloud Vault配置里：

kv:
  enabled: true
  backend: backend
  application-name: ${spring.application.name} # 也就是words
  profiles: ${spring.profiles.active} # 也就是prod

默认情况下，Spring Cloud Vault拼接KV路径的规则是：{挂载点}/{backend}/{application-name}/{profiles}。假设你的KV引擎挂载在secrets路径下，那按照你的配置，应用会尝试访问secrets/backend/words/prod，但你的实际路径多了一层show。

解决方法：把backend参数改成backend/show，这样拼接后的路径就和你Vault中的实际路径一致了：

kv:
  enabled: true
  backend: backend/show # 修改这里
  application-name: ${spring.application.name}
  profiles: ${spring.profiles.active}

2. 未指定KV引擎版本（KV1 vs KV2） #

如果你的Vault用的是KV2引擎（Vault默认现在是KV2），而Spring Cloud Vault默认会按KV1的规则去访问路径，这会导致找不到配置。KV2的路径格式是{挂载点}/data/{path}，所以需要明确指定版本：

kv:
  enabled: true
  backend: backend/show
  version: 2 # 添加这个配置
  application-name: ${spring.application.name}
  profiles: ${spring.profiles.active}

你可以用Vault CLI确认引擎版本：vault secrets list -detailed，看secrets引擎的类型是kv还是kv-v2。

3. 配置加载顺序有问题 #

Spring Boot需要优先加载Vault的配置，才能解析数据源里的占位符。你用了spring.config.import=vault://，这个配置需要确保在其他配置之前被加载：

• 如果你用的是Spring Boot 2.4+，建议把spring.config.import放在application.yml的最顶部，确保它最先被处理；
• 如果你的项目依赖了Spring Cloud组件，可能需要引入spring-cloud-starter-bootstrap依赖，并把Vault配置放到bootstrap.yml中（bootstrap上下文会优先于application上下文加载）。

4. 检查Vault Token的权限 #

确认你的VAULT_TOKEN拥有访问secrets/backend/show/words/prod路径的权限。可以用Vault CLI测试：

vault kv get secrets/backend/show/words/prod

如果能正常返回包含spring_datasource_url的配置，说明权限没问题；如果报错，需要调整Vault的policy，给这个token添加该路径的read权限。

5. 配置变量的命名匹配 #

确认Vault中的key确实是spring_datasource_url（注意大小写和下划线的拼写），和你数据源配置里的${spring_datasource_url}完全一致。如果Vault里的key是spring.datasource.url（点分隔的），那你应该在数据源配置里用${spring.datasource.url}。

额外排查建议 #

启动应用时开启debug日志（比如添加--debug参数或者配置logging.level.org.springframework.cloud.vault=DEBUG），这样可以看到Spring Cloud Vault加载配置的详细日志，确认它是否成功连接到Vault、是否找到了正确的路径、是否拉取到了对应的配置项。

备注：内容来源于stack exchange，提问作者Maksym Rybalkin