kubectl获取K8s Secret经base64 -d解码报invalid input如何解决

问题场景 #

执行如下命令获取Secret中base64编码的postgresql密码字段时，返回值和Lens工具展示的编码结果一致：

kubectl get secrets/postgresql -n my-namespace -o=go-template=='{{index .data "postgresql-password" }}'

但将输出通过管道传给base64 -d解码时，触发如下报错：

base64: invalid input

核心原因 #

• 参数写法错误（最高概率）：go-template输出参数多写了一个冗余等号。错误写法为-o=go-template=='{{模板内容}}'，正确写法应为-o=go-template='{{模板内容}}' 或 -o go-template='{{模板内容}}'。多写的等号会被识别为模板内容的一部分，最终输出的编码字符串开头会多一个=字符。=是base64编码的补位字符，只能出现在字符串末尾，开头混入该字符会直接导致解码失败。单独执行命令时肉眼很容易忽略输出首尾的冗余字符，误以为结果和Lens一致。
• 输出无末尾换行（兼容问题）：如果修正参数后仍报错，是因为go-template默认不会在输出末尾追加换行符，部分系统（尤其是BSD系，比如macOS）的base64命令会将没有标准行终止符的输入判定为非法内容。

修复方法 #

• 方法1：修正参数+补全换行（适配系统base64命令）
  执行如下命令即可正常解码：

  kubectl get secrets/postgresql -n my-namespace -o go-template='{{index .data "postgresql-password" }}{{"\n"}}' | base64 -d
  

  如果是macOS系统执行仍报错，把base64 -d换成base64 -D即可。
• 方法2：用kubectl内置解码函数（最稳妥，无兼容问题）
  kubectl模板内置了base64解码能力，不需要依赖系统的base64命令，从根源避免管道传参、系统差异带来的问题：

  kubectl get secrets/postgresql -n my-namespace -o go-template='{{index .data "postgresql-password" | base64decode }}{{"\n"}}'
  

内容的提问来源于stack exchange，提问作者Juliatzin