Hashicorp Vault OSS使用Python hvac库登录失败但Curl可正常访问的问题

看起来你遇到的问题是hvac库在请求中偷偷带上了Vault OSS不支持的Namespace相关头部，导致服务器报错。让我帮你理清楚原因和解决办法：

问题根源 #

你之前使用Vault EE的时候，可能设置过VAULT_NAMESPACE环境变量，或者在代码里给Client传过namespace参数。现在切换到OSS版本后，虽然代码里没显式传namespace，但hvac库默认会从环境变量读取VAULT_NAMESPACE的值，并在所有请求中自动添加X-Vault-Namespace请求头。

而Vault OSS完全不支持Namespace功能，当它收到带这个头部的请求时，就会抛出你看到的failed to look up namespace from the token: no namespace错误。

为什么curl能正常工作？因为curl不会自动读取这个环境变量，所以你的curl请求里没有带这个多余的头部，服务器就能正常处理AppRole登录请求。

解决办法 #

最简单的修复方式就是在初始化hvac Client的时候，显式设置namespace=None，强制覆盖环境变量的影响，不让hvac添加Namespace相关的请求头：

VAULT_ADDR="https://vault-oss.eu.gcp.mydomain.net"
VAULT_MOUNT_POINT="mountpoint"
VAULT_ROLE_ID="355398f3-76c4-49f6-ac10-c27888b15933" 
VAULT_SECRET_ID="f84cac3d-e34c-4d12-a241-7d0fff706abb" 

client = hvac.Client(
    url=VAULT_ADDR,
    verify=True,
    strict_http=True,
    namespace=None,  # 关键：强制关闭Namespace支持
)

client.auth.approle.login(
    role_id=VAULT_ROLE_ID,
    secret_id=VAULT_SECRET_ID,
    mount_point=VAULT_MOUNT_POINT,
)

这样修改后，hvac发送的请求就和你的curl请求一致了，不会再触发OSS不支持的Namespace逻辑。

额外检查点 #

如果上面的方法没解决问题，你可以再排查这两个点：

• 确认你的环境中确实没有残留的VAULT_NAMESPACE环境变量（可以用echo $VAULT_NAMESPACE在终端查看）
• 检查hvac库的版本，确保使用的是较新的稳定版，避免旧版本的bug导致的异常行为

备注：内容来源于stack exchange，提问作者рüффп