k8s secret.data 是 base64 编码的 []byte，非明文字符串；需先转 string 再用 base64.stdencoding.decodestring 解码，key 不存在时返回 nil 切片；禁止日志打印，推荐挂载文件（自动解码）并校验权限；长期凭据应优先使用 vault 动态租约。
Secret.Data 是 base64 编码的 []byte，不是明文字符串
从 clientset.CoreV1().Secrets(ns).Get() 拿到的 secret.Data 是 map[string][]byte，里面每个值都是 base64 编码后的原始字节——不是 UTF-8 字符串，更不是明文。直接 string(secret.Data["password"]) 打印出来是乱码，这不是 bug，是设计使然。
- 必须用
base64.StdEncoding.DecodeString(string(val))解码；先转string再 decode，否则会 panic - 如果 key 不存在（比如拼错成
"pwd"），secret.Data["pwd"]返回 nil 切片，len()是 0，不会 panic，但后续 decode 会报illegal base64 data - 某些 Secret（如
kubernetes.io/service-account-token）含二进制证书，不能当字符串处理，解码后也别强转string，该用[]byte就用[]byte
别在日志里打 secret.Data，哪怕只是一行 debug
Secret 的本质是密文容器，不是加密保险箱。K8s 默认只做 base64 编码，不加密。把 secret.Data 打进日志、stdout 或监控指标，等于主动泄露敏感数据。
- 禁止：
log.Printf("got secret: %+v", secret.Data) - 禁止：
fmt.Println(secret.Data) - 推荐：只取需要的 key，解码后短时使用，用完立即丢弃变量（可用
defer func(){...}()清局部变量，或手动bytes.ReplaceAll(val, val, nil)覆盖） - 开发调试时，用
if val, ok := secret.Data["password"]; ok { decoded, _ := base64.StdEncoding.DecodeString(string(val)); log.Printf("decoded len: %d", len(decoded)) }替代全量打印
挂载文件比环境变量更安全，Go 直接 os.ReadFile 即可
比起用 envFrom 注入环境变量，Secret 挂载为文件才是生产首选——因为环境变量会被 ps aux、/proc/[pid]/environ 泄露，而挂载文件默认权限是 0440，只有容器内指定用户可读。
- K8s 挂载时已自动解码：你写 YAML 里
data: { tls.key: base64(...), tls.crt: base64(...) }，挂载后/mnt/secrets/tls.key就是原始 PEM 字节，不用再 base64 decode - Go 代码只需：
keyPEM, _ := os.ReadFile("/mnt/secrets/tls.key")，然后传给tls.X509KeyPair()或x509.ParsePKCS1PrivateKey() - 本地开发复用同一套逻辑：通过 flag 或配置切换路径，比如
-secret-dir ./local-secrets，避免硬编码或条件编译 - 注意检查文件权限：
os.Stat()后验证fi.Mode().Perm() & 0o77 != 0，发现太宽松就提前退出
动态凭据优先走 Vault，别长期依赖 K8s Secret 存 DB 密码
K8s Secret 不适合存需轮换的长期凭证（如 MySQL root 密码、API token）。它没有自动续期、审计追踪或细粒度策略能力，纯靠 RBAC 控制访问，一旦泄漏就是永久有效。
- Vault 动态数据库凭据路径是
database/creds/<role_name></role_name>，不是secret/data/db；返回带lease_duration和lease_id的临时账号 - 必须自己调
sys/leases/renew续租，Vault 不会自动刷新；不续租，连接池第一次用就报permission denied - 认证用
kubernetesauth方法，靠 ServiceAccount JWT 登录，别用静态 token - Go 应用启动时不加载所有凭据，而是按需调 Vault API 获取，用完即弃，内存不留明文密码
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
