生产环境Vault集成Go需闭环凭据生命周期：认证选Kubernetes Auth或AppRole、路径必须为database/creds/myapp、lease_id须主动续租并实现fallback，DSN密码须运行时注入。
Go 语言集成 Vault 管理机密信息，不是“配个地址 + 塞个 token 就能跑通”的事。生产环境里，90% 的失败都卡在认证方式错、路径写错、lease 不续租这三处——连不上是表象，根子在凭据生命周期没闭环。
用 Kubernetes Auth 还是 AppRole？看部署环境
别用 root_token，它没 TTL、不绑定身份、泄露即全库失守。本地调试可以 vault server -dev 配 VAULT_TOKEN=root，但上线前必须切走动态认证。
- Kubernetes 环境：确保 Pod 挂载了
/var/run/secrets/kubernetes.io/serviceaccount/token，Vault 已执行vault write auth/kubernetes/config配好 K8s API 地址和 CA 证书；Go 客户端调auth.Kubernetes().Login()换短期 token - 非容器环境（如 VM）：用 AppRole。role_id 可静态写进 config，secret_id 必须一次性使用（由运维系统下发），登录返回的 token 自带 TTL 和策略限制
- 初始化 client 后，若 Vault 启用了 namespace，必须调
client.SetNamespace("prod")，否则所有请求返回403 permission denied
database/creds/myapp 是唯一能生成新 DB 凭据的路径
很多人调 client.Logical().Read("secret/data/db") 或 database/config/mydb，结果返回 nil 或 permission denied——前者是 KV 引擎读静态密码，后者只是配置数据库连接参数，都不触发凭据生成。
- 真正生成临时账号密码的路径是
database/creds/<role_name></role_name>，其中<role_name></role_name>必须和 Vault 里vault write database/roles/myapp定义的一致 - 响应体结构是
map[string]interface{}{"data": map[string]interface{}{"username": "...", "password": "...", "lease_id": "...", "lease_duration": 3600}}，注意字段都在Data下层 - 别用
client.KVv2().Get()去读这个路径——它是 database secrets engine，必须走client.Logical().Read()
lease_id 必须主动 renew，不能等自动续期
Vault 不会在后台帮你续租。DB 连接池复用旧连接时，凭据一过期就直接报 password authentication failed，而不是重试或 fallback。
立即学习“go语言免费学习笔记（深入）”；
- 从
database/creds/myapp响应中提取lease_id字符串（不是lease_id的嵌套结构，是顶层字符串） - 在剩余 TTL 的约 1/3 时间点（比如
lease_duration=3600，就在 1200 秒后触发），调client.Logical().Write("sys/leases/renew", map[string]interface{}{"lease_id": leaseID}) - 续租失败（网络抖动、Vault 临时不可达）时，必须 fallback：重新
Read("database/creds/myapp")拉新凭据，并更新 DSN 中的user/pass
DSN 密码必须运行时注入，不能拼死字符串
把凭据硬编码进 DSN 里，等于把 5 分钟有效期的密码当永久口令用——连接池一复用就炸。
- DSN 示例：
user:@tcp(127.0.0.1:3306)/mydb?parseTime=true，password位置留空 - 每次新建连接前（或连接失败时），重新 fetch 凭据并注入；不要存全局变量，也不要缓存超过
lease_duration的 1/2 - 如果用
sql.Open()初始化连接池，建议封装一个func GetDSN() string，内部做凭据拉取 + DSN 拼装，调用方只管传参
最常被忽略的是 lease 续租时机和 fallback 逻辑——它不写进代码里，上线后就不会自己长出来。TTL 越短，越要早动手续租；续租失败不兜底，第一次 DB 查询就会让服务雪崩。
