Helm设置ENV后应用无法读取Vault注入的环境变量

问题根源 #

你设置的ENV变量仅指向脚本路径，但应用启动时的进程环境并未执行该脚本，因此VERY_SECRET这类变量不会被注入到应用的运行环境中。

之所以kubectl exec进入容器后能看到变量，是因为你进入的shell环境可能已经通过Vault的初始化流程加载了该脚本，但应用启动时是直接执行./app，完全跳过了脚本执行步骤，自然读不到变量。

解决方案 #

你需要修改Dockerfile的启动命令，让shell先执行$ENV指向的脚本，再启动应用，确保变量被注入到应用的运行环境中。

方案1：修改CMD为shell执行命令 #

将Dockerfile中的最后一行CMD ./app替换为：

CMD ["sh", "-c", ". $ENV && ./app"]

这个命令会先让shell加载$ENV指向的脚本（.是source的简写，用于在当前shell环境执行脚本，导出的变量会被后续的./app继承），然后启动应用。

方案2：利用脚本的exec "$@"特性调整ENTRYPOINT #

由于你的/vault/secrets/config脚本最后有exec "$@"（用于执行传入的命令参数），可以将脚本设置为容器的ENTRYPOINT，把应用启动命令作为CMD参数传递：

ENTRYPOINT ["/vault/secrets/config"]
CMD ["./app"]

（确保脚本已拥有可执行权限，Vault注入的脚本通常默认具备）

这样容器启动时会先执行脚本导出变量，再通过exec "$@"启动./app，应用就能继承到脚本中导出的环境变量。

验证 #

修改后重新构建镜像、更新Deployment，应用启动时应该就能正常读取VERY_SECRET变量了。你也可以通过以下命令验证应用进程的环境变量：

kubectl exec -n ws <pod-name> -- ps aux
# 找到app进程的PID，然后查看其环境变量
kubectl exec -n ws <pod-name> -- cat /proc/<pid>/environ | tr '\0' '\n' | grep VERY_SECRET

内容的提问来源于stack exchange，提问作者MStikh