Java程序读取Kube Secrets 能否同Docker Swarm一样直接从本地磁盘读取？

是否支持直接从磁盘读取？ #

完全支持，这是Kubernetes官方优先推荐的Secret使用方案，不需要调用Kubernetes API或引入任何K8s相关依赖库，和你在Docker Swarm环境下的读取逻辑完全兼容。

存储路径说明 #

• 自定义业务Secret：无强制固定路径，你可以在Pod部署配置中主动指定挂载到/run/secrets目录，和你在Docker Swarm中使用的路径完全一致，原有读取代码不需要做任何修改即可直接运行。
• 系统自动挂载的ServiceAccount Secret：Kubernetes会默认给每个Pod挂载关联的ServiceAccount身份凭证，固定存储路径为/var/run/secrets/kubernetes.io/serviceaccount/，无需手动配置即可直接读取该路径下的凭证内容。

挂载配置示例 #

你只需要在Deployment的Pod配置中新增Secret挂载声明即可，参考配置如下：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: demo-app
spec:
  replicas: 1
  selector:
    matchLabels:
      app: demo-app
  template:
    metadata:
      labels:
        app: demo-app
    spec:
      # 声明要挂载的Secret资源
      volumes:
      - name: app-secret-volume
        secret:
          secretName: your-business-secret # 替换为你在K8s集群中提前创建的Secret名称
      containers:
      - name: demo-app-container
        image: your-app-image:latest
        # 将Secret挂载到指定路径
        volumeMounts:
        - name: app-secret-volume
          mountPath: /run/secrets # 直接复用Docker Swarm的路径
          readOnly: true # 推荐设为只读，避免误改密钥内容

核心特性说明 #

• 存储结构和Docker Swarm完全一致：Secret下的每个键会自动生成为挂载目录下的独立文件，文件名等于Secret的键名，文件内容就是该键对应的明文值，你原有针对/run/secrets的读取逻辑可以直接复用。
• 内容自动同步：如果你修改了集群中对应Secret的内容，容器内挂载的文件内容会在1分钟内自动刷新，不需要重启Pod。
• 安全性更高：本地文件读取不需要给Pod配置额外的Secret访问权限，也不存在API调用的权限泄露风险，比API读取方案更适合常规业务场景。

内容的提问来源于stack exchange，提问作者wyt