Spring Cloud Config Server集成Vault后端报连接拒绝I/O错误

自动拼接端口和路径的原因 #

这是框架的默认行为，不属于配置异常：

• 8200是Vault官方默认的服务监听端口，你的配置里没有显式指定spring.cloud.config.server.vault.port参数，框架会自动填充默认值8200
• /v1/secret/data是Vault KV v2版本引擎的标准API路径前缀，你配置了kv-version: 2，框架会自动按照KV2的接口规范拼接请求路径，完全符合预期逻辑。

Connection refused报错排查步骤（按优先级排序） #

连接被拒绝是典型的网络层/端口配置错误，和SSL验证、Token认证逻辑无关，按以下顺序排查：

1. 脱离Spring环境验证基础连通性
   在部署Config Server的机器上直接执行命令测试到Vault的基础连接：

   curl -v https://mydomain:8200/v1/sys/health
   

   如果该命令直接报连接失败，说明问题和Spring配置无关，优先排查：
   • 企业版Vault的实际对外监听端口是否为默认8200：绝大多数企业生产环境不会用默认端口对外提供服务，常见会改为443或其他自定义端口，需要找运维确认真实端口
   • 域名解析结果是否正确：你报错里解析到的IP是10.223.213.6，需要确认该IP确实是Vault服务的对外负载IP，没有解析到内网不可达地址
   • 防火墙/安全组规则：确认Config Server所在机器到Vault地址的对应端口没有被防火墙、安全组、网络ACL拦截
2. 核对Vault相关配置项
   基础连通性验证通过后，再核对配置参数：
   • 如果Vault实际端口不是8200，在配置中显式指定端口：

     spring:
       cloud:
         config:
           server:
             vault:
               port: 替换为Vault真实对外端口
     

   • 确认KV引擎挂载路径：Spring默认找挂载在secret路径下的KV引擎，企业部署通常会自定义挂载路径（比如appconfig、config等），如果是自定义路径需要添加backend: 你的实际挂载路径配置
   • 确认namespace配置：企业版Vault的namespace需要写全路径，如果是子namespace不能只写最后一级，比如根路径下的ops子namespace下的mynamespace，需要写namespace: root/ops/mynamespace
   • 确认Token权限：使用的Token需要有对应KV路径下的read权限，且在有效期内
3. 依赖核对
   你使用的Spring Cloud 2021.0.3版本中，spring-cloud-config-server已经内置了Vault集成所需的依赖，不需要额外引入Vault相关依赖。注意不要在Config Server端引入spring-cloud-starter-vault-config，该依赖是给Config Client使用的，引入后可能导致配置加载冲突。
4. 原生接口验证
   调整配置前可以直接用curl测试Vault原生接口，确认参数正确：

   curl -H "X-Vault-Token: 你的实际Token" -H "X-Vault-Namespace: 你的全路径namespace" https://mydomain:真实端口/v1/[KV挂载路径]/data/configserver
   

   该接口能正常返回配置内容后，再启动Config Server测试/configserver/default端点即可。

内容的提问来源于stack exchange，提问作者Nick2597