如何在Helm中正确引用Secret密钥与环境变量？

你之前的写法不生效是因为两个操作完全处于不同的生命周期阶段，互不连通：

• Helm模板渲染是在部署前的客户端阶段执行，只能读取你本地传入的Values、Helm内置变量，无法获取集群内Secret的内容，也识别不了容器运行时的环境变量写法$env.DBUser。
• 你在Deployment中定义的环境变量，是Pod调度到节点、容器启动时才会注入到容器运行时的，此时Helm的渲染流程早已完成。

方案1：配置文件使用运行时环境变量占位符（最简便，适配支持环境变量读取的运行时） #

如果你的JDBC配置对应的服务（比如Tomcat、SpringBoot等）支持在配置文件中读取系统环境变量，直接修改JDBC配置模板的写法即可，不需要调整Values：

<Resource
    name="jdbc/test"
    auth="Container"
    driverClassName="com.microsoft.sqlserver.jdbc.SQLServerDriver"
    url="jdbc:sqlserver://{{ .Values.DB.host }}:{{ .Values.DB.port }};selectMethod=direct;DatabaseName={{ .Values.DB.name }};User=${DBUser};Password=${DBPassword}"
    />

不同运行时的环境变量占位符写法可能有差异，比如旧版Tomcat需要写成${ENV:DBUser}，SpringBoot可以直接用${DBUser}，根据你的实际运行时调整即可。
Helm渲染时只会替换host/port/name这几个非敏感的Values配置，剩下的${DBUser}/${DBPassword}会保留在最终的配置文件中，容器启动后服务会自动读取你注入的Secret环境变量完成替换。

方案2：容器启动时执行占位符替换（适配不支持直接读取环境变量的服务） #

如果你的服务不支持配置文件自动读取环境变量，可以在容器启动命令中新增替换逻辑：

1. 先把JDBC配置文件里的用户名密码位置写成标准shell占位符$DBUser、$DBPassword
2. 修改Deployment的启动命令，用envsubst工具先替换占位符再启动服务，示例：

command: ["sh", "-c"]
args:
  - envsubst < /path/to/your/jdbc/config.template > /path/to/your/jdbc/config && 原服务启动命令

envsubst是绝大多数基础镜像都自带的工具，会自动读取当前系统的所有环境变量，替换配置文件里对应的$变量名占位符。

方案3：敏感值通过Helm Values传入（适合不想依赖集群Secret的场景） #

如果你希望所有配置都通过Helm Values管控，可以将用户名密码作为Values的敏感字段传入，配合helm-secrets等加密工具加密Values文件避免明文泄露：

1. values.yaml中保留占位，不要写入明文：

DB:
  host: xxx
  port: xxx
  name: xxx
  username: ""
  password: ""

2. 部署时通过参数传入敏感值，或用加密的Values文件托管：

helm install your-release ./your-chart --set DB.username=xxx --set DB.password=xxx

内容的提问来源于stack exchange，提问作者Oplop98