Kubernetes Secret未注入Pod：Java应用因环境变量缺失崩溃

问题根源 #

环境变量名称不符合POSIX规范：环境变量名不能以连字符-开头，仅允许包含字母、数字和下划线，且首字符必须为字母或下划线。你配置的-Dzookeeper.ssl.keyStore.password违反了这个规则，因此Kubernetes虽在kubectl describe pod中显示该变量已关联Secret，但实际无法在容器内创建这个环境变量，最终导致Java应用因缺失启动参数崩溃。

解决方案 #

推荐两种合规的实现方式，核心逻辑是用合法命名的载体承载Secret值，再传递给Java启动参数：

方式1：通过环境变量引用注入Java参数

将Secret值注入到合规命名的环境变量，然后在JAVA_TOOL_OPTIONS中引用该变量：

containers:
  - name: java_app
    image: some_image_here
    env:
      - name: JAVA_TOOL_OPTIONS
        value: >-
          -Dspring.profiles.active=some_profile_here
          -Dlogging.config=some_stuff_here
          -Dzookeeper.ssl.keyStore.password=$(ZOOKEEPER_SSL_KEYSTORE_PASSWORD)
      - name: ZOOKEEPER_SSL_KEYSTORE_PASSWORD
        valueFrom:
          secretKeyRef:
            name: password
            key: PASSWORD

Kubernetes支持在环境变量值中用$(VAR_NAME)语法引用其他环境变量，Java启动时会自动替换为Secret中的实际密码。

方式2：将Secret挂载为文件后读取

若不想用环境变量传递，可将Secret挂载为容器内的文件，再通过读取文件内容传递参数：

containers:
  - name: java_app
    image: some_image_here
    env:
      - name: JAVA_TOOL_OPTIONS
        value: >-
          -Dspring.profiles.active=some_profile_here
          -Dlogging.config=some_stuff_here
          -Dzookeeper.ssl.keyStore.password=$(cat /secrets/zookeeper_keystore_password)
    volumeMounts:
      - name: zookeeper-password
        mountPath: /secrets
        readOnly: true
volumes:
  - name: zookeeper-password
    secret:
      secretName: password
      items:
        - key: PASSWORD
          path: zookeeper_keystore_password

验证方法 #

部署修改后的Pod后，进入容器执行env命令可看到ZOOKEEPER_SSL_KEYSTORE_PASSWORD（方式1），或检查/secrets/zookeeper_keystore_password文件内容（方式2），同时Java应用能正常读取到zookeeper密钥库密码参数。

内容的提问来源于stack exchange，提问作者Container-Man