Spring Boot中如何将HashiCorp Key Vault值导入application.yml文件

1. 添加Spring Cloud Vault依赖 #

在项目的pom.xml（Maven）或build.gradle（Gradle）中引入Spring Cloud Vault Starter，它会封装与HashiCorp Key Vault的交互逻辑：

Maven：

<dependency>
    <groupId>org.springframework.cloud</groupId>
    <artifactId>spring-cloud-starter-vault-config</artifactId>
</dependency>

Gradle：

implementation 'org.springframework.cloud:spring-cloud-starter-vault-config'

注意：需保证Spring Cloud版本与你的Spring Boot版本兼容，可参考官方版本映射规则。

2. 配置Key Vault连接信息 #

在application.yml中添加Key Vault的基础连接参数，让Spring Boot能建立与Vault服务的通信：

spring:
  cloud:
    vault:
      uri: https://your-vault-server:8200  # 你的Key Vault服务地址
      token: your-access-token             # 拥有密钥读取权限的Vault Token
      kv:
        enabled: true
        version: 2                         # KV引擎版本，V1填1，V2填2
        backend: secret                    # KV引擎挂载路径，默认是secret

3. 在Key Vault中存储密钥 #

用Vault CLI或Web UI将需要的配置值存入Key Vault，比如存储数据库密码：

# KV V2版本命令
vault kv put secret/myapp db.password=your-db-password

# KV V1版本命令
vault write secret/myapp db.password=your-db-password

这里的myapp是你的应用标识，Spring Cloud Vault会自动匹配对应前缀的密钥集合。

4. 在application.yml中引用Key Vault的值 #

直接用${}占位符在application.yml中引用Vault里的密钥，和引用本地配置的方式一致：

# 本地配置文件中引用Vault存储的值
db:
  password: ${db.password}

如果密钥是带层级路径的（比如secret/myapp/config/db.password），可以这样引用：

db:
  password: ${myapp/config/db.password}

5. 验证配置加载 #

写一个简单的Controller或组件验证值是否正确加载：

import org.springframework.beans.factory.annotation.Value;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class ConfigTestController {

    @Value("${db.password}")
    private String dbPassword;

    @GetMapping("/check-db-password")
    public String getDbPassword() {
        return dbPassword;
    }
}

启动项目后访问/check-db-password，若返回Vault中存储的密码，说明配置加载成功。

注意事项 #

• 确保Vault Token拥有目标密钥路径的read权限。
• 生产环境不要硬编码Token，可通过环境变量、系统属性或身份认证机制（如AppRole、云厂商身份认证）动态获取。
• 使用KV V2版本时，可通过spring.cloud.vault.kv.default-context指定默认应用上下文，简化密钥引用路径。

内容的提问来源于stack exchange，提问作者Dinesh