如何让Spring Cloud配置客户端通过HashiCorp Vault登录配置服务器

要让配置客户端从Vault读取凭证访问Config Server，核心是让客户端在bootstrap启动阶段先连接Vault获取凭证变量，再用这些变量去请求Config Server。以下是具体步骤：

1. 给客户端添加Vault配置依赖 #

确保客户端的pom.xml中包含Spring Cloud Vault Config依赖，这样才能在启动时加载Vault中的配置：

<dependency>
    <groupId>org.springframework.cloud</groupId>
    <artifactId>spring-cloud-starter-vault-config</artifactId>
</dependency>

2. 修正客户端bootstrap.yml配置 #

需要在bootstrap.yml中添加Vault连接配置，同时修正变量拼写错误（原来的{CONFIG_SERVER_PASSWORD}少了$符号）：

spring:
  application:
    name: configclient
  cloud:
    # 配置客户端连接Vault的信息
    vault:
      host: 127.0.0.1
      port: 8200
      scheme: http
      authentication: TOKEN
      token: mytoken  # 客户端访问Vault的令牌，需确保有权限读取对应凭证路径
      kv:
        enabled: true
        backend: secret  # 和Config Server配置的Vault backend一致
        version: 2       # 对应Vault的KV版本
    config:
      # 无需单独配置uri，依赖spring.config.import即可
  config:
    # 修正变量拼写，确保${CONFIG_SERVER_PASSWORD}被正确解析
    import: configserver:http://${CONFIG_SERVER_USERNAME}:${CONFIG_SERVER_PASSWORD}@${app.config-server.host}:${app.config-server.port}

3. 确保Vault凭证路径匹配 #

Spring Cloud Vault默认会根据客户端的spring.application.name加载对应路径的配置，比如你的客户端名为configclient，则需要确保凭证存储在Vault的secret/configclient路径下（对应你提供的键值对）。如果路径不一致，可以通过spring.cloud.vault.kv.application-name自定义路径。

4. 验证配置逻辑 #

客户端启动时会按以下顺序执行：

1. 加载bootstrap.yml，连接Vault并拉取CONFIG_SERVER_USERNAME和CONFIG_SERVER_PASSWORD
2. 解析spring.config.import中的变量，替换为Vault中获取的凭证
3. 使用替换后的地址访问Config Server，获取应用配置

关键注意点 #

• 必须在bootstrap.yml中配置Vault和Config Server信息，因为这些配置需要在应用上下文初始化前加载
• 检查Vault令牌权限：确保客户端的Vault令牌有权限读取对应路径的密钥
• 确认Config Server的Spring Security启用了HTTP Basic认证，否则用户名密码方式无法生效

内容的提问来源于stack exchange，提问作者QNNet