用Go调Vault KV v2需显式指定"data"路径，如"secret/data/mydb"，真实数据在resp.Data["data"]中；初始化client后应先测试sys/auth权限；K8s中须设正确Address并配置TLS；传token禁用环境变量，推荐stdin或安全临时文件。
怎么用 Go 调 Vault 的 kv/v2 读取密钥？
Vault 的 KV v2 启用了版本控制和元数据，直接 GET /v1/secret/data/foo 才能拿到真实值，GET /v1/secret/foo 会 404。Go 客户端默认不自动补 data 路径，得手动拼。
- 用
vault.Logical().Read()，路径必须显式写成"secret/data/mydb"（不是"secret/mydb"） - 返回的
*vault.Secret中，真实数据在secret.Data["data"]里，不是secret.Data直接平铺 - 如果没启用 kv v2，而误用了
data路径，会返回nil且无明确错误，容易卡在空指针 panic
resp, err := client.Logical().Read("secret/data/db-prod")
if err != nil || resp == nil {
log.Fatal(err)
}
data := resp.Data["data"].(map[string]interface{}) // 注意类型断言
password := data["password"].(string)
为什么 vault.Client 初始化后调 sys/auth 总是 403？
不是权限问题，大概率是 token 权限没覆盖到系统路径。Vault 的 sys/ 下多数接口（如 sys/auth、sys/policy）属于「系统策略」，普通 token 默认没访问权，哪怕它能读写 secret/。
- 初始化
vault.Client后，先用client.Sys().ListAuthMethods()测试是否通，比直接读业务路径更早暴露权限问题 - root token 或带
sudo权限的 token 才能调sys/，普通策略需显式加path "sys/*" { capabilities = ["read", "list"] } - 使用
VAULT_TOKEN环境变量时，确认它不是从 UI 复制的「临时 token」——UI 生成的 token 默认不含sudo，也不继承策略里的sys/权限
用 vault.NewClient() 连集群时，为什么本地 OK、K8s 里就 timeout？
Vault 默认走 <a href="https://www.php.cn/link/41c3edcf6af07a5578bdb68b05c67564">https://www.php.cn/link/41c3edcf6af07a5578bdb68b05c67564</a>，这个地址在容器里根本不可达。K8s 场景下必须显式设 Address，且不能依赖 localhost。
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 检查
vault.NewClient()前是否设置了vault.DefaultConfig().Address = "<a href="https://www.php.cn/link/a03422c987126467d665a90315a33f20">https://www.php.cn/link/a03422c987126467d665a90315a33f20</a>" - 若启用了 TLS，必须同时配置
tls.Config，否则 Go HTTP client 会因证书校验失败静默拒绝连接（不是报错，是 context deadline exceeded） - K8s 中推荐用 ServiceAccount + Vault Agent 注入方式，而不是硬编码地址+token；否则 token 轮换、CA 更新都得自己处理
Go 里怎么安全传 Vault token 给子进程（比如 exec.Command）？
别把 token 放 cmd.Env 里。Linux /proc/PID/environ 对所有用户可见，ps 也能看到环境变量，token 就裸奔了。
立即学习“go语言免费学习笔记（深入）”；
- 用
stdin传：启动子进程时设cmd.Stdin = strings.NewReader(token)，子进程从 stdin 读 - 或用临时文件 +
os.Remove清理，但必须确保文件权限是0600，且写完立刻chmod，避免竞态窗口 - 更稳妥的是让子进程自己调 Vault API（比如用 vault CLI 的
-address和-token-file），Go 进程只给它一个安全的 token 文件路径，不碰内容
Vault 的麻烦不在 API 多难写，而在每个环节都默认不安全：路径隐含版本、权限分系统/业务两级、网络地址无默认适配、凭据传递方式全靠自觉。漏掉任意一环，表面上跑得通，实际密钥早就漏了。
