能否直接在Kubernetes Deployment的args字段中使用Secret值？

当然有办法！你完全可以不用显式的环境变量中转（或者说能更优雅地在args字段里直接引用Secret值），Kubernetes原生支持两种实用的实现方式，下面我详细说明：

方法1：利用环境变量占位符（简洁推荐） #

这种方式本质是先让Kubernetes把Secret映射为容器的环境变量，然后在args里直接用占位符引用——虽然定义了环境变量，但业务代码完全不需要读取它们，只是作为args的中转载体，写法上非常简洁。

第一步：创建Secret #

先把你的数据库用户名和密码存入Secret：

kubectl create secret generic db-secret \
  --from-literal=db-user=postgres \
  --from-literal=db-pass=postgres

第二步：编写Deployment的YAML #

在env字段里引用Secret，然后在args里用$(变量名)的格式直接替换：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: your-app-deployment
spec:
  replicas: 1
  selector:
    matchLabels:
      app: your-app
  template:
    metadata:
      labels:
        app: your-app
    spec:
      containers:
      - name: your-app-container
        image: your-app-image:latest
        # 将Secret映射为容器环境变量（K8s内部处理，业务无需感知）
        env:
        - name: DB_USER
          valueFrom:
            secretKeyRef:
              name: db-secret
              key: db-user
        - name: DB_PASS
          valueFrom:
            secretKeyRef:
              name: db-secret
              key: db-pass
        # 在args里直接引用环境变量占位符，K8s会自动替换为Secret值
        args:
          - "-db_host=postgres"
          - "-db_port=5432"
          - "-db_username=$(DB_USER)"
          - "-db_password=$(DB_PASS)"

Kubernetes会在容器启动前自动把$(DB_USER)和$(DB_PASS)替换成Secret里的实际值，全程不会明文暴露敏感数据。

方法2：将Secret挂载为文件直接读取 #

如果你完全不想用到环境变量，可以把Secret挂载成容器内的文件，然后在args里通过命令读取文件内容。

第一步：创建Secret（和方法1相同） #

kubectl create secret generic db-secret \
  --from-literal=db-user=postgres \
  --from-literal=db-pass=postgres

第二步：编写Deployment的YAML #

通过volumes和volumeMounts把Secret挂载到容器的某个目录，然后在args里用$(cat /文件路径)读取值：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: your-app-deployment
spec:
  replicas: 1
  selector:
    matchLabels:
      app: your-app
  template:
    metadata:
      labels:
        app: your-app
    spec:
      containers:
      - name: your-app-container
        image: your-app-image:latest
        # 挂载Secret到容器内的只读目录
        volumeMounts:
        - name: db-secret-vol
          mountPath: /etc/db-credentials
          readOnly: true
        # 通过cat命令读取文件内容作为参数值
        args:
          - "-db_host=postgres"
          - "-db_port=5432"
          - "-db_username=$(cat /etc/db-credentials/db-user)"
          - "-db_password=$(cat /etc/db-credentials/db-pass)"
      # 定义Secret对应的Volume
      volumes:
      - name: db-secret-vol
        secret:
          secretName: db-secret

注意：这种方式要求你的容器镜像里包含cat命令（绝大多数Linux基础镜像都自带），K8s会在启动容器时执行cat命令并替换占位符。

额外注意事项 #

• 两种方式都不会在Deployment的YAML或K8s集群的任何明文输出（比如kubectl describe）里暴露Secret的敏感值，安全性有保障。
• 方法1的性能更好（不需要执行额外的shell命令），写法也更简洁，推荐优先使用。

内容的提问来源于stack exchange，提问作者Tinkaal Gogoi