如何在同一应用嵌入Spring Config Server与Client及授权问题解决

错误信息 #

通过方法'searchPathCompositeEnvironmentRepository'参数0表达的依赖不满足：创建名为'git-env-repo1'的Bean时出错：https://external-configurations.git: 未授权

预期实现目标 #

• 从Vault获取Git用户名和密码
• 使用上述凭证连接外部配置Git仓库（文件名为myConfigServer-dev.yml）
• 覆盖本地application.yml文件中的配置

当前bootstrap.yml配置 #

spring:
  profiles:
    active: composite, dev

  main:
    allow-bean-definition-overriding: true

  cloud:
    config:
      server:
        bootstrap: true
        composite:
          - type: vault
            backend: secret
            profile-separator: "-"
            application-name: myConfigServer
            default-context: myConfigServer-dev
            order: 1
            vault:
              uri: {vault uri}
              authentication: approle
              app-role:
                role-id: {role-id}
                secret-id: {secret-id}
              kv:
                default-context: myConfigServer-dev
              generic:
                profile-separator: "-"
              kvVersion: 2

          - type: git
            uri: {git repo uri}
            username: ${git.username}
            password: ${git.token}
            default-label: master
            clone-on-start: true
            order: 2
    vault:
      uri: {vault uri}
      authentication: approle
      app-role:
        role-id: {role-id}
        secret-id: {secret-id}
      kv:
        default-context: myConfigServer-dev
      generic:
        profile-separator: "-"

解决方案 #

1. 确认Vault中Git凭证的存储路径匹配配置 #

检查Vault内git.username和git.token的存储路径是否符合配置：

• 路径需对应backend: secret + default-context: myConfigServer-dev，即secret/myConfigServer-dev
• 确保该路径下确实存在这两个键值对，且值正确有效

2. 清理重复的Vault配置，避免加载冲突 #

移除spring.cloud.config.server.composite[0].vault下的重复配置，复用顶层spring.cloud.vault的配置，确保配置加载逻辑一致：

spring:
  cloud:
    config:
      server:
        bootstrap: true
        composite:
          - type: vault
            backend: secret
            profile-separator: "-"
            application-name: myConfigServer
            default-context: myConfigServer-dev
            order: 1
          - type: git
            uri: {git repo uri}
            username: ${git.username}
            password: ${git.token}
            default-label: master
            clone-on-start: true
            order: 2
    vault:
      uri: {vault uri}
      authentication: approle
      app-role:
        role-id: {role-id}
        secret-id: {secret-id}
      kv:
        default-context: myConfigServer-dev
        version: 2
      generic:
        profile-separator: "-"

3. 手动验证Vault凭证获取是否正常 #

通过命令行调用Vault API，确认能正确获取Git凭证：

# 先获取Vault令牌
VAULT_TOKEN=$(vault write -field=token auth/approle/login role_id={role-id} secret_id={secret-id})
# 查询目标路径的配置
curl -H "X-Vault-Token: $VAULT_TOKEN" {vault uri}/v1/secret/myConfigServer-dev

检查返回结果中是否包含git.username和git.token的正确值。

4. 验证Git仓库的访问权限 #

• 确认git.username对应的账号（或个人访问令牌git.token）拥有目标Git仓库的读取权限
• 检查令牌是否过期、是否被撤销，或仓库是否设置了IP白名单限制

5. 启用调试日志排查加载过程 #

在bootstrap.yml中添加日志配置，追踪配置加载细节：

logging:
  level:
    org.springframework.cloud.config: DEBUG
    org.springframework.vault: DEBUG

通过日志确认Vault配置是否被正确加载，以及Git仓库尝试使用的凭证内容是否符合预期。

内容的提问来源于stack exchange，提问作者vkr