必须使用AppRole或Kubernetes Auth认证，禁用root token；动态凭据仅能从database/creds/路径获取，需用client.Logical().Read()读取并手动续租lease_id，DSN须留空密码、运行时注入最新凭据。
认证必须用 AppRole 或 Kubernetes Auth，别碰 root token
硬编码 root token 或把 token 写进配置文件，等于把保险箱钥匙焊死在门把手上。一旦泄露，整个 Vault 实例就裸奔。生产环境只接受两种可审计、可轮换、带策略绑定的认证方式：
- Kubernetes 环境：Pod 必须挂载
/var/run/secrets/kubernetes.io/serviceaccount/token，且 Vault 已执行vault write auth/kubernetes/config配好 K8s API 地址和 CA 证书；Go 客户端调用auth.Kubernetes().Login()换短期 token - 非容器环境：用 AppRole。其中
role_id可静态分发（如 config 文件），但secret_id必须一次性使用——由运维系统动态下发，用完即焚
客户端初始化时漏掉 client.SetToken() 或没配 client.SetNamespace()（若启用了 namespace），会导致 permission denied 或 no token provided 错误，不是权限问题，是根本没认证成功。
database/creds/ 是唯一能触发动态生成的路径
很多人卡在返回 nil 或 permission denied，本质是路径写错了。Vault 的路径语义非常严格：
-
secret/data/db：KV 引擎，存静态密码，不生成新凭据 -
database/config/mydb：只是配置 DB 连接参数（地址、账号、驱动），不产生凭证 -
database/creds/<role_name></role_name>：这才是真正触发动态生成的路径，<role_name></role_name>必须与 Vault 中vault write database/roles/myapp定义的完全一致
响应体里 Data["username"] 和 Data["password"] 是即时生成的临时凭证，lease_duration 是秒级 TTL（比如 3600），不是永久有效——它过期后，连接池里复用的老连接会直接报 password authentication failed。
立即学习“go语言免费学习笔记（深入）”；
lease_id 必须主动 renew，Vault 不会帮你后台续租
从 database/creds/<role_name></role_name> 响应中提取 lease_id 字符串后，不能指望 client 自动续期。DB 连接池可能复用旧连接数分钟，而凭据早已过期。
- 在剩余 TTL 的约 1/3 时间点（比如 lease_duration=3600，则每 1200 秒检查一次），调用
client.Logical().Write("sys/leases/renew", map[string]interface{}{"lease_id": leaseID}) - 续租失败（如网络抖动）必须 fallback：重新
Read("database/creds/<role_name>")</role_name>拉新凭据，并更新 DSN 中的user/pass - 别在全局变量里缓存凭据——几秒到几分钟就失效，每次建新连接前或连接失败时，都该重新 fetch 并注入
DSN 构造必须留空密码，靠运行时注入
把凭据拼进固定 DSN 字符串里反复用，或者存在全局变量中，是常见且危险的做法。正确构造示例如下：user:@tcp(127.0.0.1:3306)/mydb?parseTime=true ——密码位置留空。
推荐用自定义 driver.Connector 或 pgx.ConnConfig（截至 2026 年 6 月），在 Connect() 时动态注入最新凭据。最容易被忽略的是：lease_id 续租失败后，你得同步更新 connector 内部的凭据缓存，否则下一次连接仍用已过期的旧密码。
