Spring Cloud Config集成HashiCorp Vault连接异常排查求助

一、启动时健康检查失败的线程绑定请求异常 #

可能原因 #

Spring Cloud Config 集成 Vault 时，默认健康检查逻辑可能在非 Web 请求线程中尝试获取RequestContextHolder绑定的请求上下文，导致线程绑定请求异常；而 native 模式不依赖外部服务，无此问题。

排查步骤 #

• 检查 Vault 健康检查配置：
  • 若开启spring.cloud.config.server.vault.health.enabled=true，需确保spring.cloud.config.server.vault.health.path指向 Vault 有效健康端点（如/v1/sys/health），且 Config 服务拥有访问该端点的权限。
  • 若无需 Vault 健康检查，可直接设置spring.cloud.config.server.vault.health.enabled=false禁用。
• 核对异常堆栈：
  • 若异常与RequestContextHolder.getRequestAttributes()相关，说明健康检查逻辑依赖 Web 请求上下文，需自定义健康检查 Bean 规避该依赖，或调整 Actuator 健康检查的执行线程。
• 校验依赖版本：
  • 确保 Spring Boot Actuator、Spring Cloud Config、Spring Cloud Vault 版本匹配，避免版本冲突引发的线程上下文处理异常。

二、客户端访问提示缺少X-Config-Token，添加后仍无法获取配置 #

可能原因 #

Config 服务未正确转发客户端 token 至 Vault，或 Vault 权限配置、路径匹配存在问题。

排查步骤 #

• 配置服务端 token 转发：
  • 在 Config 服务的application.yml中添加spring.cloud.config.server.vault.transfer-request-headers=X-Config-Token，确保服务端将客户端传递的X-Config-Token请求头转发至 Vault。
• 验证客户端 token 有效性：
  • 用 curl 直接测试：curl -H "X-Config-Token: <你的Vault有效token>" http://<config-server-ip>:<port>/licensing-service/dev，若返回 403 说明 token 无对应路径权限；返回 404 说明 Vault 中无对应配置路径。
• 检查 Vault 权限配置：
  • 确认 Vault 中 policy 允许目标 token 读取配置路径（如secret/licensing-service/dev），示例规则：

    path "secret/licensing-service/*" {
      capabilities = ["read"]
    }
    

• 核对 Config 服务的 Vault 路径配置：
  • 检查spring.cloud.config.server.vault.kv-version（默认 v1）、spring.cloud.config.server.vault.application-name等配置，确保与 Vault 存储路径结构匹配。
• 查看 Config 服务日志：
  • 开启 debug 日志，查看转发至 Vault 的请求详情，确认请求头、路径、token 是否正确传递，以及 Vault 返回的具体错误码。

内容的提问来源于stack exchange，提问作者Yll