Go直连Vault时token续期不及时会导致403错误，因client.SetToken()静态设置且不自动刷新；必须用AppRole或Kubernetes Auth获取短期token，并调client.Auth.Token().RenewSelf(0)主动续期，读取KV v2路径需显式带data/层级，如"secret/data/mydb"，且返回nil.Secret表示路径错误而非权限问题。
Go 直连 Vault 时 token 续期不及时导致 403 错误
Vault 的 client.SetToken() 是静态设置，不会自动刷新。生产环境里 token 过期后，client.Logical().Read() 会直接返回 403 Permission denied，而不是更明确的过期提示。
实际做法是用 Vault 的 AppRole 或 Kubernetes Auth 插件获取短期 token，并配合 client.Auth.Token().Renew() 主动续期：
- 每次获取 secret 前，先调用
client.Auth.Token().RenewSelf(0)（0 表示按策略最大 TTL 续期） - 捕获
*api.ErrInvalidRequest或*api.ErrForbidden，触发重新登录流程 - 避免在 goroutine 中长期持有 client 实例——token 续期需同步控制，否则并发 Renew 可能冲突
读取 secret/data/ 路径时返回 nil.Secret，不是没权限就是路径错
Vault 1.10+ 默认启用 KV v2 引擎，所有密钥实际存于 data 子路径下。直接 Read("secret/mydb") 会返回 nil，但错误为 nil，容易误判成“空值”而非“路径不存在”。
正确写法必须显式带上 data/：
立即学习“go语言免费学习笔记（深入）”；
secret, err := client.Logical().Read("secret/data/mydb")
if err != nil {
// 处理网络或权限错误
}
if secret == nil {
// 这里才是真没数据，不是权限问题
}
pwd := secret.Data["data"].(map[string]interface{})["password"].(string)
注意：secret.Data["data"] 是 KV v2 的固定结构，v1 是 secret.Data 直出；混用会导致 panic。
本地开发用 vault server -dev，但生产环境不能硬编码 VAULT_ADDR
vault server -dev 启动的地址是 http://127.0.0.1:8200，而生产环境 Vault 通常走 HTTPS、带 LB、有 DNS 别名。如果代码里写死 Address: "http://127.0.0.1:8200"，上线就得改源码——这违反十二要素原则，也容易漏改。
可靠做法只依赖环境变量，且加 fallback 检查：
- 读
os.Getenv("VAULT_ADDR")，为空则 panic（不默认 fallback 到 localhost） - 启动时校验
VAULT_ADDR是否以https://开头，非 HTTPS 环境强制要求VAULT_SKIP_VERIFY=true - K8s 场景下，用
fieldRef注入status.hostIP或 Service DNS，而非 ConfigMap 硬编码
Go 读 secret 后别打日志、别进 error message、别进 pprof
哪怕只是 log.Printf("got pwd len: %d", len(pwd))，长度信息都可能被用于侧信道攻击；更别说 fmt.Errorf("failed to connect: %s", pwd) 把密码塞进 error 链——它可能被 sentry、prometheus 或 debug 接口暴露。
安全边界必须划清：
- 敏感字段读出来后，立即转成
[]byte，用完立刻bytes.Equal()比较，不用==字符串比较（避免常量池驻留） - 绝不把 secret 放进 struct 字段长期持有；用完即丢，必要时
runtime.KeepAlive()防止提前 GC 导致内存残留 - HTTP handler 里若要验证凭据，用
http.Error(w, "Unauthorized", 401)，而不是带原因的提示
最易被忽略的是：Go 的 net/http/pprof 会 dump 全局变量和 goroutine stack，一旦 secret 曾经出现在栈帧里（比如传参未脱敏），就可能被导出。上线前务必关掉 pprof，或用 path prefix 严格限制访问。
