K8s中Vault Init Container对KV2已删除密钥的兼容处理求助

修改后的完整模板代码 #

{{- range secrets "secret/${element(split("_", secret), 0)}" }}
  {{- if eq . "${join("_", slice(split("_", secret), 1, length(split("_", secret))))}" }}
    {{- with secret "secret/${element(split("_", secret), 0)}/${join("_", slice(split("_", secret), 1, length(split("_", secret))))}" }}
      {{- if index .Data "data" }}
        {{- /* 兼容KV2密钥删除后.data.data为null的场景 */}}
        {{- with .Data.data | default dict }}
          {{- range $k, $v := . }}
            export ${secret}_{{ $k }}='{{ $v }}'
            export ${upper(secret)}_{{ $k | toUpper }}='{{ $v }}'
          {{- end }}
        {{- end }}
      {{- else }}
        {{- /* 保留KV1原有处理逻辑 */}}
        {{- range $k, $v := .Data }}
          export ${secret}_{{ $k }}='{{ $v }}'
          export ${upper(secret)}_{{ $k | toUpper }}='{{ $v }}'
        {{- end }}
      {{- end }}
    {{- end }}
  {{- end }}
{{- end }}

关键改动说明 #

1. 空值安全处理：在KV2分支中，通过with .Data.data | default dict将null转换为空字典，避免直接遍历null导致的模板执行错误。当密钥被删除后，这段逻辑会自动跳过环境变量导出，不会中断初始化流程。
2. 保留原有兼容性：KV1的处理逻辑完全不变，不影响正常KV1密钥的读取和环境变量导出。
3. 简洁性优化：使用with语句结合default过滤器，比额外嵌套if判断更符合HCL模板的简洁风格。

替代实现方案（可选） #

如果偏好显式判断的写法，也可以用if语句替代with：

{{- if index .Data "data" }}
  {{- if ne .Data.data null }}
    {{- range $k, $v := .Data.data }}
      export ${secret}_{{ $k }}='{{ $v }}'
      export ${upper(secret)}_{{ $k | toUpper }}='{{ $v }}'
    {{- end }}
  {{- end }}
{{- else }}
  {{- range $k, $v := .Data }}
    export ${secret}_{{ $k }}='{{ $v }}'
    export ${upper(secret)}_{{ $k | toUpper }}='{{ $v }}'
  {{- end }}
{{- end }}

内容的提问来源于stack exchange，提问作者benz