如何将从HashiCorp Vault获取的数据库凭证传递给数据库上下文

针对你的场景，有两种常用的实现方案，可根据你的凭证类型（静态/动态）选择：

前置改造：先完善VaultService的实现 #

首先调整现有VaultService，增加凭证返回和可选缓存逻辑，避免频繁请求Vault服务：

public interface IVaultService
{
    // 拉取KV存储的数据库凭证
    Task<Dictionary<string, object>> GetDbCredentialsAsync();
}

public class VaultService : IVaultService 
{   
    // 凭证缓存，可选配置，动态凭证可配合租期使用
    private Dictionary<string, object> _cachedCredentials;
    private DateTimeOffset _cacheExpireTime;

    public async Task<Dictionary<string, object>> GetDbCredentialsAsync()
    {
        // 缓存有效直接返回
        if (_cachedCredentials != null && _cacheExpireTime > DateTimeOffset.UtcNow)
        {
            return _cachedCredentials;
        }

        // 原有Vault认证、连接逻辑
        // ...

        // 拉取KV凭证
        Secret<SecretData> secret = await vaultClient.V1.Secrets.KeyValue.V2.ReadSecretAsync(kvpPath.Value, mountPoint: "kv");
        _cachedCredentials = secret.Data.Data.ToDictionary(kv => kv.Key, kv => kv.Value);
        // 缓存时间：动态凭证用返回的LeaseDuration，静态凭证可自行设置更长时间
        _cacheExpireTime = DateTimeOffset.UtcNow.AddSeconds(secret.LeaseDuration > 0 ? secret.LeaseDuration : 3600);
        
        return _cachedCredentials;
    }   
}

然后在Startup.ConfigureServices中注册Vault服务：

services.AddSingleton<IVaultService, VaultService>();

方案1：启动时预拉取凭证覆盖配置（适合静态KV凭证） #

如果你的数据库凭证是长期有效的静态KV值，可以在服务启动阶段直接拉取凭证，覆盖配置中的连接字符串，原有业务代码无需修改：
以.NET 6+的Program.cs为例：

var builder = WebApplication.CreateBuilder(args);

// 初始化Vault服务拉取凭证
var vaultService = new VaultService();
var dbCreds = await vaultService.GetDbCredentialsAsync();

// 替换原有配置中的连接字符串占位符（原有配置里可以只存地址、库名等固定信息，账号密码留占位符即可）
var baseConnStr = builder.Configuration.GetValue<string>("AppSettings:ConnectionString");
var finalConnStr = baseConnStr
    .Replace("{db_username}", dbCreds["username"].ToString())
    .Replace("{db_password}", dbCreds["password"].ToString());
builder.Configuration["AppSettings:ConnectionString"] = finalConnStr;

// 原有服务注册逻辑保持不变
builder.Services.Configure<AppSettings>(builder.Configuration.GetSection("AppSettings"));
services.AddTransient<IDbAdapterService, DbAdapterService>();

方案2：注入VaultService到DbAdapterService（适合动态凭证） #

如果你的数据库凭证是Vault动态生成的、有有效期，建议直接将Vault服务注入到数据库适配器中，每次实例化时自动拉取最新凭证：
修改DbAdapterService的构造函数即可：

public class DbAdapterService : IDbAdapterService
{
      private readonly AppSettings _settings;
      // 构造函数注入IVaultService
      public DbAdapterService(IOptions<AppSettings> settings, IVaultService vaultService)
      {
           _settings = settings?.Value;
           DbConnectionStringBuilder builder = new DbConnectionStringBuilder();
           // 加载基础连接字符串（不含账号密码的固定部分）
           builder.ConnectionString = _settings.ConnectionString;  
           // 拉取最新凭证填充到连接字符串
           var dbCreds = vaultService.GetDbCredentialsAsync().GetAwaiter().GetResult();
           builder["User ID"] = dbCreds["username"].ToString();
           builder["Password"] = dbCreds["password"].ToString();
           // 后续使用builder.ToString()作为实际连接字符串即可
      }
}

因为你注册的DbAdapterService是Transient生命周期，每次请求都会创建新实例，自然会拉取最新的有效凭证，不需要额外的刷新逻辑。如果是Singleton生命周期的服务，可以额外加定时刷新凭证的逻辑即可。

内容的提问来源于stack exchange，提问作者aman