Secret在Kubernetes中主要通过Volume挂载为文件或注入为环境变量两种方式使用：Volume方式支持热更新且适合多字段、需文件路径控制的场景；环境变量方式仅启动时加载、不自动刷新，适用于简单键值对。
Secret 在 Kubernetes 中主要通过两种方式挂载到容器内部：作为 Volume 挂载为文件，或注入为环境变量。两者适用场景不同，选择取决于应用读取配置的习惯和安全要求。
Volume 方式挂载（推荐用于多字段、需动态更新的场景）
这种方式把 Secret 的每个 key 映射成容器内一个只读文件，适合需要完整控制读取路径、或依赖文件形式配置的应用（如 Nginx、MySQL 客户端配置）。
- Pod YAML 中需定义
volumes字段，指定secretName引用已存在的 Secret - 在
container.volumeMounts中声明挂载点，设置mountPath（如/etc/secret）并建议设readOnly: true - 可选使用
items精确控制哪些 key 挂载、挂载成什么文件名，例如将 Secret 中的passwordkey 挂载为/etc/secret/db-pass - 挂载后，容器内对应路径下会生成文件，内容即原始明文（Kubernetes 自动解码 Base64），无需应用自行处理编码
环境变量方式注入（适合简单键值对、启动时读取）
适用于只需少量敏感参数、且应用习惯从环境变量读取（如 $DB_USER、$DB_PASS）的场景。
- 在容器的
env或envFrom字段中引用 Secret - 用
env可逐个映射：name: SECRET_USERNAME+valueFrom.secretKeyRef.name: my-secret+key: username - 用
envFrom可批量导入：secretRef.name: my-secret，所有 key 会转为同名环境变量（注意命名冲突风险） - 环境变量在容器启动时注入，Secret 更新后**不会自动刷新**，需重启 Pod 才生效
注意事项与常见问题
无论哪种方式，都需确保 Secret 已提前创建在同一命名空间；跨命名空间引用不被支持。
- Secret 默认类型是
Opaque，data 字段值必须是合法 Base64 编码（可用echo -n "xxx" | base64生成） - Volume 挂载支持热更新：Secret 更新后，对应文件内容约 1 分钟内自动刷新（kubelet 周期检查），应用需自行监听文件变更
- 环境变量方式不支持热更新，仅限 Pod 启动时加载一次
- 避免将大体积 Secret（如证书链过长）挂载为 Volume，可能增加 kubelet 内存压力
验证是否挂载成功
可通过命令直接进入容器检查：
- 查文件挂载：
kubectl exec -it <pod-name> -- ls /etc/secret - 看环境变量：
kubectl exec -it <pod-name> -- env | grep SECRET - 读取内容：
kubectl exec -it <pod-name> -- cat /etc/secret/username
