Kubernetes Secret中stringData自动转为data且值被编码问题

为什么stringData会转为data字段？ #

Kubernetes Secret的核心存储规范要求所有数据必须是Base64编码格式，stringData只是一个便捷输入字段——它允许你直接写入明文内容，K8s API服务器在接收请求后会自动对这些值进行Base64编码，然后将编码后的数据存入标准的data字段，而stringData本身不会被持久化。这是K8s的默认机制，完全符合Secret的设计规范。

应用程序如何获取明文的用户名和密码？ #

编码后的存储不会影响应用程序读取明文，K8s提供了两种原生方式自动解码并提供明文：

1. 环境变量注入 #

在Pod配置中将Secret字段映射为环境变量，K8s会自动解码并注入明文值：

apiVersion: v1
kind: Pod
metadata:
  name: kafka-app
  namespace: kafka
spec:
  containers:
  - name: kafka-container
    image: your-kafka-image
    env:
    - name: KAFKA_USERNAME
      valueFrom:
        secretKeyRef:
          name: kafka-secret
          key: username
    - name: KAFKA_PASSWORD
      valueFrom:
        secretKeyRef:
          name: kafka-secret
          key: password

2. Volume挂载 #

将Secret挂载为文件，文件内容直接是明文：

apiVersion: v1
kind: Pod
metadata:
  name: kafka-app
  namespace: kafka
spec:
  containers:
  - name: kafka-container
    image: your-kafka-image
    volumeMounts:
    - name: secret-volume
      mountPath: /etc/kafka-secrets
      readOnly: true
  volumes:
  - name: secret-volume
    secret:
      secretName: kafka-secret

挂载完成后，/etc/kafka-secrets/username和/etc/kafka-secrets/password文件内的内容就是明文的kafka和secret。

验证Secret的明文内容 #

如果需要确认存储的明文是否正确，可通过kubectl命令解码查看：

kubectl get secret kafka-secret -n kafka -o jsonpath='{.data.username}' | base64 --decode
kubectl get secret kafka-secret -n kafka -o jsonpath='{.data.password}' | base64 --decode

内容的提问来源于stack exchange，提问作者DeirdreRodgers