ConfigMap 创建后 Pod 里没生效是因为它不会自动注入，必须在 Pod 的 envFrom、env 或 volumes 中显式引用；更新后也不会自动刷新，挂载为 volume 的文件内容约1分钟内同步但进程不重读，env 注入的值则完全静态，需滚动更新 Pod 或应用热加载。
ConfigMap 创建后为什么 Pod 里没生效？
ConfigMap 本身只是存储配置的键值对，不会自动注入到 Pod。必须在 Pod 的 spec.containers.envFrom、env 或 volumes 中显式引用，否则 Pod 启动时根本读不到。
常见错误是只创建了 ConfigMap，却忘了在 Pod 模板里加 envFrom 或挂载 volumeMounts。检查方法：进容器执行 env | grep KEY_NAME 或 ls /etc/config/ 看文件是否存在。
- 用
envFrom注入全部键值对：envFrom:<br> - configMapRef:<br> name: my-config
- 用
env单独映射某个键：env:<br> - name: DB_HOST<br> valueFrom:<br> configMapKeyRef:<br> name: my-config<br> key: db.host
- 用
volumeMount挂载为文件（适合多行配置或非环境变量场景）：volumes:<br> - name: config-volume<br> configMap:<br> name: my-config<br>volumeMounts:<br> - name: config-volume<br> mountPath: /etc/config
从文件或目录创建 ConfigMap 时路径和 key 名怎么对应？
用 kubectl create configmap 从文件创建时，key 默认是文件名；从目录创建时，key 是目录下每个文件的文件名（不含路径）。注意：文件名不能含 . 开头（如 .env），否则会被忽略。
如果想自定义 key 名，用 --from-file=key1=path/to/file1 显式指定。比如 --from-file=app.conf=./conf/app.conf 会让 key 变成 app.conf，而不是原始文件名 app.conf —— 看似一样，但能绕过自动推导逻辑，避免意外。
- 从单个文件创建：
kubectl create configmap my-cm --from-file=config.json→ key 是config.json - 从目录创建：
kubectl create configmap my-cm --from-file=./configs/→ key 是db.yaml、log.ini等 - 重命名 key：
--from-file=database.yml=./prod/db.yaml→ key 是database.yml
ConfigMap 更新后 Pod 里的配置会不会自动刷新？
不会。ConfigMap 被挂载为 volume 时，文件内容会定期同步（默认 1 分钟内），但已有进程不会重新读取；通过 env 注入的值则完全静态，Pod 启动那一刻就固定了，后续 ConfigMap 怎么改都无效。
所以别指望“改完 ConfigMap 就立刻生效”。真正可靠的方案只有两个：滚动更新 Pod（触发重建），或应用自己实现配置热加载（比如监听 /etc/config 文件变化）。
- 挂载为 volume 的文件：可被应用轮询或 inotify 监听，但需代码支持
- 环境变量方式：必须重启容器才生效，CI/CD 流程中要触发
rollout restart deployment - 使用
kubectl patch或apply更新 ConfigMap 后，记得检查 Pod 的restartCount是否增加，确认是否真的重建了
ConfigMap 和 Secret 混用时要注意什么？
ConfigMap 和 Secret 结构几乎一样，但 Secret 会 Base64 编码且有更严格的权限控制。千万别把密码写进 ConfigMap——哪怕只是临时测试。Kubernetes 不会对 ConfigMap 做任何加密或访问限制，etcd 里明文可查。
另外，Secret 默认挂载权限是 0644，而 ConfigMap 是 0644（可被所有容器内用户读），如果你挂载到容器里又没做权限隔离，敏感信息等于裸奔。
- 密码、token、私钥等一律走
Secret，哪怕开发环境也别偷懒 - ConfigMap 适合放
log.level=debug、feature.flag=true这类无害配置 - 用
kubectl get cm my-cm -o yaml能直接看到明文内容，而secret需要加--decode才能看，这就是设计意图的差别
ConfigMap 看似简单，但关键点全在“怎么连上”和“怎么更新”这两个动作上；多数线上问题不是创建失败，而是引用漏了、挂载错了、或者误当 Secret 用了。
