vault服务端必须启用kv-v2和approle插件，否则凭据写入报错或客户端无法获取token；go客户端需用role_id与动态secret_id换取短期token，并通过kv2接口按/versioned路径读取凭据，且令牌须绑定策略并限制ttl。
Vault 服务端必须启用 kv-v2 和 approle 插件
不启用 kv-v2，后续写入凭据时会报 invalid path；不启用 approle，Golang 客户端就无法以服务身份自动获取 token——它不是默认开启的。启动 Vault 时得显式挂载：
vault secrets enable -version=2 -path=secret kv vault auth enable approle
常见错误是只启用了 kv（v1），结果 client.KV2("secret") 调用直接 panic；或者漏掉 auth enable approle，导致 client.Auth().Login 返回 nil token。
Go 客户端要用 approle role_id + secret_id 换取短期 token
Vault 不允许微服务直连 root token，必须走角色凭证流程。关键点在于：role_id 是静态的（可存 config 或 env），secret_id 是一次性的、需每次请求前动态获取（或复用短时效缓存）。
-
role_id从 Vault UI 或vault read auth/approle/role/<name>/role-id</name>获取 -
secret_id必须调用vault write -f auth/approle/role/<name>/secret-id</name>动态生成（不能硬编码） - Golang 中用
client.Auth().Login提交二者，返回的token默认 TTL 为 24h（可在 role 级配置）
示例片段：
auth := &api.AppRoleAuthOptions{
RoleID: os.Getenv("VAULT_ROLE_ID"),
SecretID: os.Getenv("VAULT_SECRET_ID"), // 实际应由独立 init 服务提供或定期轮换
}
token, err := client.Auth().Login(context.TODO(), auth)
凭据读取必须用 kv-v2 的版本化路径
kv-v2 的读接口不是 /secret/data/foo，而是 /secret/data/foo —— 注意 data 这一级。漏掉就会返回 404 或空数据。且默认返回的是带元数据的结构体，真实值在 Data.Data["password"] 里。
- 正确路径：
client.KV2("secret").Get(context.TODO(), "db/password") - 返回结构：
resp.Data["data"].(map[string]interface{})["password"] - 若需指定版本，加
options：client.KV2("secret").GetWithOptions(..., &api.KVGetOptions{Version: 3})
别用 client.Logical().Read("secret/db/password")，那是 kv-v1 的写法，v2 下会静默失败。
临时令牌要绑定策略并限制 TTL
给微服务分配的 token 不能无限制访问所有路径。必须提前定义策略（如 microservice-db-read），并在 approle role 中绑定：
vault policy write microservice-db-read - <p>同时设置 token 生命周期：</p>
-
token_ttl：服务 token 最长存活时间（建议 1h） -
token_max_ttl：硬上限（建议 24h） - 客户端应实现 token 刷新逻辑（比如 TTL 剩余
没设策略或 TTL 过长，等于把 Vault 当配置中心裸奔用，和硬编码密码没本质区别。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
