Node.js应用挂载Kubernetes Secrets文件失败致崩溃求助

一、核心问题复盘 #

• 首次尝试projected volume挂载多Secret时，因配置字段错误触发"未知字段"警告，Pod进入CrashLoopBackOff，目标目录仅保留镜像原有文件，无Secret内容
• 改为单独挂载每个Secret到子目录后，Node.js仍报错找不到文件：./api/src/config/values/server-secret/database-url

二、逐个问题排查与修复 #

1. Projected Volume的"未知字段"问题 #

Kubernetes projected volume有严格的字段规范，90%的"未知字段"警告都是拼写或层级错误导致的：

• 错误示例（字段拼写错误、层级混乱）：

  volumes:
  - name: config-values
    projected:
      sources:
      - secrets: # 错误：应该是secret（单数）
          secretName: server-secret # 错误：应该是name
          items:
          - key: database-url
            path: server-secret/database-url
  

• 正确配置示例：

  volumes:
  - name: config-values
    projected:
      sources:
      - secret:
          name: server-secret # 正确字段名：name
          items:
          - key: database-url # Secret中存储的key
            path: server-secret/database-url # 挂载到容器内的路径
      - secret:
          name: auth-secret
          items:
          - key: api-key
            path: auth-secret/api-key
  

  修正后重新部署，Pod即可正常创建，目标目录会生成对应Secret文件。

2. 单独挂载Secret的路径问题 #

Node.js报错找不到文件，从两个方向排查：

（1）容器内实际挂载是否生效

进入容器执行以下命令确认：

# 检查目标目录是否存在文件
ls -l /api/src/config/values/server-secret/
# 检查Secret是否存在
kubectl get secrets server-secret

如果目录为空，说明挂载配置有误：

• 必须明确映射Secret的key到目标文件名，否则K8s会把Secret的key作为文件名（如果Secret的key不是database-url，就会出现文件不存在的问题）
• 正确挂载配置示例：

  volumes:
  - name: server-secret-volume
    secret:
      secretName: server-secret
      items:
      - key: database-url # 必须和Secret中的key完全一致
        path: database-url # 容器内生成的文件名
  containers:
  - name: api
    volumeMounts:
    - name: server-secret-volume
      mountPath: /api/src/config/values/server-secret
  

（2）Node.js相对路径陷阱

Node.js中./是相对于进程的工作目录（cwd），如果应用启动时的cwd是/api，那./api/src/config/values/...会被解析为/api/api/src/config/...，自然找不到文件。
解决方法：

• 改用绝对路径读取：

  const fs = require('fs').promises;
  async function loadDbUrl() {
    return await fs.readFile('/api/src/config/values/server-secret/database-url', 'utf8');
  }
  

• 或者先打印当前工作目录确认：

  console.log('当前工作目录:', process.cwd());
  

三、完整修正后的Deployment示例 #

apiVersion: apps/v1
kind: Deployment
metadata:
  name: api-deployment
spec:
  replicas: 1
  selector:
    matchLabels:
      app: api
  template:
    metadata:
      labels:
        app: api
    spec:
      containers:
      - name: api
        image: your-api-image:latest
        volumeMounts:
        - name: config-values-volume
          mountPath: /api/src/config/values
      volumes:
      - name: config-values-volume
        projected:
          sources:
          - secret:
              name: server-secret
              items:
              - key: database-url
                path: server-secret/database-url
          - secret:
              name: auth-secret
              items:
              - key: api-key
                path: auth-secret/api-key

内容的提问来源于stack exchange，提问作者Vincenzo