如何在Liquibase变更日志中读取环境变量替换硬编码用户

Liquibase原生支持环境变量/系统变量的替换，结合OpenShift的环境配置能力，可以轻松替换硬编码的用户名，具体步骤分三部分：

1. 修改Liquibase变更集（changeSet）中的SQL检查 #

把硬编码的myuser替换为变量占位符（比如${DB_USER}），Liquibase会自动读取同名环境变量的值进行填充：

<changeSet author="xxxxx" id="1682329977552-1" context="unittest">
  <preConditions onFail="CONTINUE">
    <sqlCheck expectedResult="1"> SELECT COUNT(*) FROM pg_roles WHERE rolname='${DB_USER}';</sqlCheck>
  </preConditions>
  <sqlFile dbms="!h2, oracle, mysql, postgresql"
           encoding="UTF-8"
           endDelimiter="\nGO"
           path="db_grants.sql"
           relativeToChangelogFile="true"
           splitStatements="true"
           stripComments="true"/>
</changeSet>

2. 修改授权脚本db_grants.sql #

同样把所有硬编码的myuser替换为${DB_USER}：

grant select on all tables in schema public to ${DB_USER};
grant insert on all tables in schema public to ${DB_USER};
grant delete on all tables in schema public to ${DB_USER};
grant update on all tables in schema public to ${DB_USER};

3. 在OpenShift中配置环境变量 #

在运行Liquibase的Pod（比如Deployment、Job）配置中添加环境变量，有两种常用方式：

方式一：直接指定值（适合测试场景） #

在Deployment/Job的YAML配置中直接定义变量：

spec:
  template:
    spec:
      containers:
      - name: liquibase-container
        image: your-liquibase-image
        env:
        - name: DB_USER
          value: "your-target-user"

方式二：从Secret/ConfigMap读取（生产环境推荐） #

先创建存储用户名的Secret：

oc create secret generic db-secrets --from-literal=db-user=your-target-user

再在Deployment/Job中引用该Secret：

spec:
  template:
    spec:
      containers:
      - name: liquibase-container
        image: your-liquibase-image
        env:
        - name: DB_USER
          valueFrom:
            secretKeyRef:
              name: db-secrets
              key: db-user

验证注意事项 #

• Liquibase默认启用变量替换，若出现不生效的情况，可在启动命令中添加--variable-substitution=true参数，或在liquibase.properties里配置variableSubstitution=true
• 确保OpenShift Pod的服务账号有权限读取对应的Secret/ConfigMap（默认权限足够，特殊场景需调整RBAC规则）

内容的提问来源于stack exchange，提问作者Abolfazl