Hashicorp Vault：CLI请求成功但API调用返回403权限拒绝

1. 补充命名空间请求头（HCP Vault默认启用） #

HCP Vault默认启用根命名空间admin，Vault CLI会自动读取本地配置中的命名空间参数，但手动curl请求未携带该头，导致权限校验失败。

• 验证CLI的命名空间配置：

  vault config get namespace
  

  若返回admin，则需在curl请求中添加X-Vault-Namespace头：

  curl --header "X-Vault-Token: hvs.XXX" --header "X-Vault-Namespace: admin" --request GET https://vault-cluster-public-vault-XXX.YYY.z1.hashicorp.cloud:8200/v1/secret/data/my-spring-boot-app | jq
  

2. 确认策略路径的精确匹配 #

检查策略是否覆盖了KV v2的完整数据路径：

• 查看策略内容：

  vault policy read my-spring-boot-app-policy
  

• 确保策略包含以下规则（注意路径是secret/data/my-spring-boot-app而非secret/my-spring-boot-app）：

  path "secret/data/my-spring-boot-app" {
    capabilities = ["read"]
  }
  

3. 验证API端点与CLI配置一致 #

确认curl请求的Vault地址与CLI当前连接的地址完全匹配：

• 查看CLI的Vault地址：

  vault status
  

• 对比输出中的Vault Address与curl请求的URL，确保协议、域名、端口完全一致。

内容的提问来源于stack exchange，提问作者Alexander Tilkin