Golang集成Vault必须用Kubernetes auth认证、从database/creds/{role}动态获取凭据并手动续租lease_id，禁用硬编码token和静态密码。需正确配置service account、Vault端kubernetes auth、DB插件与角色，TLS验证不可跳过，namespace须显式设置。
用 Kubernetes auth 而不是 token 认证
本地开发用 VAULT_TOKEN 能跑通，但一上 K8s 就 403 或 silent fail。Kubernetes auth 是云环境唯一靠谱的起点。
- 确保 Pod 中挂载了 service account token：
/var/run/secrets/kubernetes.io/serviceaccount/token - Vault 侧必须已执行：
vault auth enable kubernetes和vault write auth/kubernetes/config（填对 K8s API 地址和 CA cert） - Go 客户端初始化时，别只设
Address，必须显式启用 auth：client.Auth().Kubernetes().Login(&api.KubernetesAuthRequest{Role: "myapp-role", JWT: jwtToken}) - role 名称必须和 Vault 里
vault write auth/kubernetes/role/myapp-role定义的一致，且绑定正确 service account
读 database/creds/{role} 而不是 secret/data/{path}
动态数据库凭据必须走 database/creds/ 路径，不是 KV v2 的 secret/data/。前者每次调用生成新账号，后者只是存死密码。
- 先在 Vault 配好 DB 插件：
vault write database/config/mydb plugin_name="postgresql-database-plugin" ... - 再定义角色：
vault write database/roles/myapp db_name="mydb" creation_statements="..." default_ttl="3600" - Go 中调用：
client.Logical().Read("database/creds/myapp")，不是secret/data/myapp/db - 响应中取凭据：
resp.Data["username"].(string)和resp.Data["password"].(string)，resp.Data["lease_id"].(string)必须保存
凭据过期前主动 renew lease_id
Vault 不会后台续租。DB 连接池复用旧连接时，凭据一过期就直接报 password authentication failed，不是超时或重试可掩盖的。
- 从
database/creds/响应里提取lease_id字符串，记下来 - 启动 goroutine，在
lease_duration的 1/3 时间点调用：client.Logical().Write("sys/leases/renew", map[string]interface{}{"lease_id": leaseID}) - renew 失败（如网络抖动）时 fallback：重新
Read("database/creds/myapp")拉新凭据，并热更新 DSN 中的 user/pass - 别信
renewable字段——PostgreSQL 插件返回 false，但实际仍支持 renew；以 Vault 文档和实测为准
TLS 配置不能跳过验证，尤其生产环境
x509: certificate signed by unknown authority 是开发常见错误，但用 InsecureSkipVerify: true 等于把 Vault 的 HTTPS 当 HTTP 用。
立即学习“go语言免费学习笔记（深入）”；
- 开发环境若用自签名证书，只信任特定 CA 文件：
config.HttpClient.Transport.(*http.Transport).TLSClientConfig.RootCAs = caPool - 生产环境必须用可信 CA 签发的证书，且把 CA 公钥文件路径传进 client
- 地址必须带协议和端口：
https://vault.example.com:8200，漏掉https://会导致 client 默认走 HTTP - 如果 Vault 启用了 namespace，
client.SetNamespace("prod")必须在认证前调用，否则所有请求静默失败
