Spring Cloud Config如何结合Vault与Git实现敏感配置属性动态替换

需求可行性 #

你的需求完全可以实现，Spring Cloud Config原生支持多配置源组合及占位符自动解析能力，不需要额外开发全量遍历替换的逻辑。

核心实现方案 #

方案1：原生复合配置源（推荐，无需额外开发） #

Spring Cloud Config支持将Git、Vault同时作为配置后端，从Git拉取的配置文件中${xxx}格式的占位符，会自动从其他已加载的配置源（包括Vault）中匹配对应值完成替换，再返回给请求配置的客户端。

Config Server端核心配置示例：

spring:
  profiles:
    # 启用复合配置源模式
    active: composite
  cloud:
    config:
      server:
        composite:
          # 第一个配置源：Git，存放通用配置
          - type: git
            uri: 你的Git仓库地址
            search-paths: 配置文件存储目录
            username: Git访问用户名
            password: Git访问密码
          # 第二个配置源：Vault，存放敏感值
          - type: vault
            host: Vault服务部署地址
            port: 8200
            scheme: https
            # 可根据你的Vault部署选择认证方式，支持token、approle、cert等多种模式
            authentication: token
            # 生产环境建议该值通过环境变量、K8s Secret等方式注入，不要硬编码
            token: 你的Vault访问令牌
            kv-version: 2 # 根据你的Vault KV引擎版本选择

配置完成后，你Git配置里的${passwordInVault}会被自动替换为Vault中存储的对应值后返回给客户端。

方案2：自定义扩展（适用于特殊占位符规则场景） #

如果你的Git配置里敏感值占位符不是标准${}格式，或者有自定义的替换规则，可通过扩展Spring Cloud Config的组件实现：

• 自定义PropertySourceLocator实现类，在Git配置加载完成后，遍历所有属性值匹配自定义占位符规则
• 调用Vault官方Java SDK拉取对应敏感值完成替换，再将处理后的配置源返回

注意事项 #

• 复合配置源的顺序决定加载顺序，将Vault放在Git之后，可避免Vault中的同key值覆盖Git中的非占位符通用配置
• 可开启Config Server侧的配置缓存，避免每次客户端拉取配置都重复请求Vault，提升性能
• 生产环境下Config Server访问Vault的认证凭据禁止硬编码在配置文件中，建议通过环境变量、加密配置等安全方式注入

内容的提问来源于stack exchange，提问作者All_Safe