Kubernetes部署中Vault agent-inject的环境变量拼接问题

问题现象 #

使用Vault Agent Inject注入环境变量时，生成的shell脚本出现行内容非法拼接，导致环境变量值被破坏：

export KafkaSettings__BootstrapServers="kafka.kafka.svc.cluster.local:9092"
export ENVIRONMENT_TESTS="kafka.kafka.svc.cluster.local:9092"export ConnectionStrings__TransactionConnection="Server=sql-server.database.svc.cluster.local,1433;Database=Transaction;User Id=sa;Password=Strong@Passw0rd;TrustServerCertificate=true;"

最终ENVIRONMENT_TESTS的值被错误拼接为kafka.kafka.svc.cluster.local:9092export。

根因分析 #

问题出在Vault Agent模板的trim语法使用上：

• 模板中使用了{{- end }}（带右trim标记-}}），会移除end标签后的所有空白字符（包括换行符）
• 同时下一个块的{{- with ... -}}（带左trim标记{{-）会移除标签前的所有空白字符
• 两者叠加导致两个块的输出内容直接拼接，没有换行分隔，最终造成后一行的export被拼接到前一行的变量值末尾

解决方案 #

调整模板的trim标记，保留块之间的换行分隔：

修改Deployment中的vault.hashicorp.com/agent-inject-template-transaction_config注释内容为：

vault.hashicorp.com/agent-inject-template-transaction_config: |
  {{- with secret "my-project/messaging/kafka/global" }}
  export KafkaSettings__BootstrapServers="{{ .Data.data.bootstrapServers }}"
  export ENVIRONMENT_TESTS="{{ .Data.data.bootstrapServers }}" #to tests
  {{ end }}

  {{- with secret "my-project/database/transaction-api/global" }}
  export ConnectionStrings__TransactionConnection="{{ .Data.data.connectionString }}"
  {{ end }}

关键修改点：

1. 将{{- end }}改为{{ end }}，移除右trim标记，保留end标签后的换行
2. 保留块开头的{{- with ...}}（左trim）以移除块前的多余空白，保证生成的脚本格式整洁

验证方法 #

重新部署Deployment后，进入Pod查看/vault/secrets/transaction_config文件内容，确认每个export命令都单独占一行，再执行环境变量加载命令，验证变量值是否正确。

内容的提问来源于stack exchange，提问作者Leomar de Souza