Quarkus中application.yml无法读取Terraform输出值致容器启动失败

Quarkus 配置占位符 ${xxx} 仅会从自身支持的配置源（系统环境变量、application配置文件、JVM启动参数、K8s ConfigMap/Secret挂载配置等）中查找匹配值，不会主动读取Terraform的输出或状态文件，直接在application.yml中填写Terraform输出的变量名，必然会出现值无法展开的错误。
额外存在配置名匹配规则偏差：Terraform输出的变量名是下划线分隔的my_service_aurora_db_application_password，Quarkus默认的配置名映射规则为「点分隔小写字段 <-> 全大写下划线分隔环境变量」，配置中填写的点分隔key如果没有对应同名的环境变量/配置项传入，无法被识别解析。
该报错和当前引入的Quarkus依赖无关，quarkus-config-yaml组件已正常生效。

K8s部署场景下推荐通过Secret注入环境变量的方式传递Terraform生成的敏感配置，全程不需要让应用感知Terraform的存在，安全性和可维护性最高：

• 第一步：Terraform侧将敏感输出写入K8s Secret，禁止明文硬编码在Deployment配置中，示例配置：

# 存储数据库密码的K8s Secret
resource "kubernetes_secret" "service_db_cred" {
  metadata {
    name = "my-service-db-credentials"
    namespace = "your-service-namespace"
  }
  data = {
    # 直接引用Terraform的敏感输出，base64编码由K8s provider自动处理
    db_password = my_service_aurora_db_application_password
  }
}

• 第二步：在K8s Deployment的容器配置中，将Secret中的值映射为Quarkus可识别的环境变量，两种写法二选一即可：
  • 写法一（无需修改现有application.yml）：直接映射到Quarkus数据源密码对应的标准环境变量

  # 配置块位于Deployment的template.spec.container层级
  env {
    name = "QUARKUS_DATASOURCE_PASSWORD"
    value_from {
      secret_key_ref {
        name = kubernetes_secret.service_db_cred.metadata[0].name
        key  = "db_password"
      }
    }
  }
  

  Quarkus会自动将全大写下划线格式的QUARKUS_DATASOURCE_PASSWORD映射为quarkus.datasource.password配置项，该配置源优先级高于application.yml中的静态配置，会直接覆盖占位符取值。
  • 写法二（适配现有占位符key）：注入和占位符对应的环境变量

  env {
    name = "MY_SERVICE_AURORA_DB_APPLICATION_PASSWORD"
    value_from {
      secret_key_ref {
        name = kubernetes_secret.service_db_cred.metadata[0].name
        key  = "db_password"
      }
    }
  }
  

  该写法下现有application.yml中password: ${my.service.aurora.db.application.password}的配置可以正常解析，无需修改。

• 禁止配置Quarkus应用直接读取Terraform状态文件获取配置：Terraform状态文件存储全量基础设施敏感信息，开放给应用读取会造成极大的安全攻击面，不符合最小权限原则。
• 所有敏感配置必须通过K8s Secret存储传递，禁止明文写在Deployment、ConfigMap或者镜像内的静态配置文件中。

内容的提问来源于stack exchange，提问作者Bodo Wissemann