Spring Config Server原生模式下用Vault密钥替换环境变量占位符可行吗？

完全可以实现，不需要修改原有配置文件结构，通过Spring Cloud Config与Hashicorp Vault的原生集成就能完成敏感信息的替换，具体步骤如下：

1. 配置Spring Cloud Config Server集成Vault #

• 首先在Config Server的依赖管理文件中添加Vault集成依赖：

  <!-- Maven 示例 -->
  <dependency>
      <groupId>org.springframework.cloud</groupId>
      <artifactId>spring-cloud-starter-vault-config</artifactId>
  </dependency>
  

• 在Config Server的application.yml中配置Vault连接及匹配规则：

  spring:
    cloud:
      config:
        server:
          vault:
            host: localhost # 你的Vault服务地址
            port: 8200
            scheme: http # 生产环境建议使用HTTPS
            backend: secret # Vault中存储密钥的根路径
            default-context: myapp # 对应你的服务名称
            profile-separator: '_' # 配置文件环境的分隔符，比如prod对应路径secret/myapp_prod
            kv-version: 2 # 若使用Vault KV v2版本需指定，v1可省略
    vault:
      authentication: token
      token: your-vault-app-token # 生产环境请使用受限权限的token，禁止使用root token
  

2. 在Vault中存储敏感密钥 #

使用Vault CLI将数据库密码写入对应路径，路径需与Config Server的配置匹配：

# 示例：服务名myapp，环境prod，写入DB_PASSWORD密钥
vault kv put secret/myapp_prod DB_PASSWORD=your-real-db-password

3. 客户端服务配置调整 #

• 客户端需添加Vault集成依赖：

  <dependency>
      <groupId>org.springframework.cloud</groupId>
      <artifactId>spring-cloud-starter-vault-config</artifactId>
  </dependency>
  

• 在客户端的bootstrap.yml中配置Config Server地址及Vault认证信息：

  spring:
    cloud:
      config:
        uri: http://your-config-server:8888 # 你的Config Server地址
        name: myapp
        profile: prod
    vault:
      authentication: token
      token: client-restricted-token # 给客户端分配的仅能访问自身密钥路径的受限token
  

4. 验证效果 #

启动Config Server和客户端服务后，客户端会先从Config Server拉取带有${DB_PASSWORD}占位符的配置，随后Spring会自动从Vault加载对应密钥并替换占位符，最终应用加载的是真实的数据库密码。

注意事项 #

• 生产环境禁止使用root token认证，推荐使用AppRole、Kubernetes Auth等更安全的认证方式，同时给Vault路径配置最小权限的访问策略
• 原有native模式的配置文件无需修改，保持原有占位符即可，Vault配置的优先级会自动覆盖占位符值

内容的提问来源于stack exchange，提问作者animo3991