Netty如何使用Kubernetes cert-manager管理的TLS证书完成TLS终止

你对kubernetes.io/tls类型Secret的字段处理逻辑存在误解：该类型Secret的tls.crt、tls.key字段存储的是完整PEM格式文件（包含首尾标识行）的Base64编码结果，并非移除了标识行的原始证书/私钥内容。你直接将YAML中展示的Base64字符串写入文件，相当于给Netty传入了未解码的编码数据，自然会出现解析失败问题。

方案1：直接通过kubectl导出解码后的证书文件（推荐） #

直接通过kubectl命令完成Base64解码，直接生成标准PEM文件，不需要手动处理内容：

• 导出证书文件命令：
  kubectl get secret websitesslcert-staging -o jsonpath='{.data.tls\.crt}' | base64 -d > tls.crt
• 导出私钥文件命令：
  kubectl get secret websitesslcert-staging -o jsonpath='{.data.tls\.key}' | base64 -d > tls.key

导出完成后直接使用你现有Netty代码加载即可，不需要做任何额外修改，导出的文件已经是标准PEM格式，包含完整的首尾标识行。

方案2：手动处理已提取的Base64内容 #

如果你已经单独提取了YAML中tls.crt和tls.key对应的Base64字符串，按以下步骤处理：

1. 将tls.crt对应的Base64字符串做Base64解码，直接写入文件，不需要手动添加任何标识行，解码后的内容自带完整PEM格式标识
2. 同理处理tls.key对应的Base64字符串，解码后写入私钥文件即可

如果你是直接将该Secret挂载到运行Netty服务的Pod内部使用，不需要手动导出证书：Secret挂载到容器路径后，路径下的tls.crt和tls.key就是已经自动解码完成的标准PEM文件，Netty代码直接读取挂载路径下的对应文件即可，无需额外处理。

内容的提问来源于stack exchange，提问作者nha