Scala对接GCP SecretManager如何关闭客户端并返回密钥Map结果

问题1：代码片段功能说明 #

这段代码返回一个匿名函数（也就是你代码中定义的SecretService类型别名，实际类型为Seq[String] => Map[String, String]），具体执行逻辑如下：

• 入参是需要查询的密钥名称列表secrets
• 遍历每一个密钥名称，调用GCP SecretManager的accessSecretVersion接口拉取对应项目、指定版本的密钥明文，转换为UTF-8编码字符串
• 拉取成功则返回Some(密钥名 -> 密钥值)，拉取失败则打印错误日志、关闭客户端连接、返回None
• 最后通过flatMap过滤掉拉取失败的条目，将所有拉取成功的键值对转换为Map[String, String]返回

原有写法存在两个明显问题：一是匿名函数为懒执行，调用GoogleSecret(xxx)仅会拿到函数实例，不会实际触发密钥拉取；二是只有单个密钥拉取失败时才会关闭客户端，所有密钥都拉取成功的场景下客户端不会被释放，存在资源泄漏风险。

问题2：代码改造方案 #

改造思路如下：

1. 给apply方法新增secretNames: Seq[String]入参，直接接收要拉取的密钥名称列表，不再返回匿名函数
2. 用try-finally块包裹所有业务逻辑，不管拉取操作成功还是失败，都保证客户端被正常关闭，杜绝资源泄漏
3. 移除原有单密钥拉取失败就关闭客户端的逻辑，统一在所有拉取操作完成后关闭资源
4. 返回值类型从Try[SecretService]调整为Try[Map[String, String]]，直接返回拉取完成的密钥结果

改造后完整代码：

import scala.util.Try
import com.google.cloud.secretmanager.v1.{SecretManagerServiceClient, SecretManagerServiceSettings, SecretVersionName}
import java.util.concurrent.TimeUnit

object GoogleSecret {
  // 注：SecretVersion、defaultProvider、logger需提前在你的项目中定义
  def apply(
           project: String,
           secretNames: Seq[String],
           version: String = SecretVersion,
           credentials: CredentialsProvider = defaultProvider
         ): Try[Map[String, String]] = Try {
    require(project != null && project.nonEmpty, "project is null or empty")
    require(secretNames != null && secretNames.nonEmpty, "secret names list is null or empty")

    val settings = SecretManagerServiceSettings.newBuilder
      .setCredentialsProvider(credentials)
      .build()
    var client: SecretManagerServiceClient = null
    try {
      client = SecretManagerServiceClient.create(settings)
      logger.info(s"connected to project: $project")

      secretNames.flatMap { secret =>
        logger.debug(s"getting secret: $secret")
        try {
          val value = client
            .accessSecretVersion(SecretVersionName.of(project, secret, version))
            .getPayload
            .getData
            .toStringUtf8
          Some(secret -> value)
        } catch {
          case e: Throwable =>
            logger.error(s"get secret $secret failed: ${e.getMessage}", e)
            None
        }
      }.toMap
    } finally {
      if (client != null) {
        client.shutdown()
        client.awaitTermination(30, TimeUnit.SECONDS)
        client.close()
        logger.info("SecretManager client closed successfully")
      }
    }
  }
}

调用方式示例：

// 直接调用即可拿到拉取结果，不需要再二次调用函数
val secretsResult = GoogleSecret("gcp-project-id", Seq("db-password", "api-key"))

内容的提问来源于stack exchange，提问作者xarc