Beego 应用连 Vault 必须用 Logical().Read("database/creds/myapp") 获取动态凭据，设 namespace、续租 lease_id、构造 DSN 时运行时拼密码，并用 approle/k8s 认证；禁用 KVv2 读 creds 路径或硬编码 token。
Beego 应用连 Vault 不能只靠 vault_token 环境变量硬塞——认证方式错、路径写成 secret/data/db、漏续 lease_id，上线后数据库连接隔几小时就崩。
Beego 启动时如何安全获取 Vault 凭据
别在 app.conf 里写死密码，也不要在 main.go 初始化阶段直接调 client.Logical().Read("secret/data/db")。动态数据库凭据必须走 database/creds/<role_name></role_name>，且需在 Beego 的 Run() 前完成凭据拉取和 DSN 注入。
- 初始化 Vault client 后，立即调
client.SetNamespace(os.Getenv("VAULT_NAMESPACE"))（如果启用了 namespace，否则所有请求 403） - 用
client.Logical().Read("database/creds/myapp")获取响应，从中提取Data["username"]、Data["password"]和LeaseID - 构造 DSN 时留空密码字段：例如
user@tcp(127.0.0.1:3306)/mydb?parseTime=true&loc=Local，运行时再拼接user:pass@... - 把完整 DSN 赋给
beego.AppConfig.String("mysql::dsn")或直接传给orm.RegisterDataBase()
为什么不能用 KVv2 引擎读 database/creds 路径
database/creds/<role_name></role_name> 是 Database Secrets Engine 的专属路径，不是 KV 存储。用 client.KVv2().Get() 去读，返回永远是 nil 或 404，因为引擎路由不匹配。
- KVv2 对应的是
secret/data/xxx或secret/metadata/xxx这类路径 - Database 引擎必须走
client.Logical().Read()，底层调的是/v1/database/creds/...HTTP endpoint - 错误现象：日志里没报错但
resp.Data为空，或 panic on nil map access
lease_id 续租必须由 Beego 应用自己驱动
Vault 不会后台帮你续期。Beego 的 sql.DB 连接池复用旧连接时，若凭据过期，首次查询直接报 ERROR: password authentication failed，而不是自动重试。
- 从首次
Read("database/creds/myapp")响应中取出LeaseID字符串 - 启动一个 goroutine，在
LeaseDuration / 3时间点（比如 TTL=3600 秒，则 1200 秒后）调client.Logical().Write("sys/leases/renew", map[string]interface{}{"lease_id": leaseID}) - 续租失败（如网络超时、lease 已失效）时，必须 fallback 到重新
Read("database/creds/myapp")拉新凭据，并更新全局 DSN 和 ORM 连接池（调orm.DelOrm()+orm.NewOrm()） - 别依赖响应里的
Renewable字段判断是否可续——Database 引擎有时返回 false，但实际仍可 renew
认证方式必须选 approle 或 kubernetesauth
开发时用 vault server -dev 配 VAULT_TOKEN=root 能跑通，但一上生产 K8s 就 403。root token 泄露 = 全库裸奔，且无法绑定 Pod 身份或自动轮换。
- K8s 环境：确保容器挂载了
/var/run/secrets/kubernetes.io/serviceaccount/token，Vault 已执行vault write auth/kubernetes/config配好 API Server 地址和 CA - 非容器环境（如物理机部署 Beego）：用
approle，role_id可静态分发，secret_id一次性使用，登录后拿到的 token 自带 TTL 和策略限制 - 初始化 client 后，必须显式调
client.Auth().AppRole(...)或client.Auth().Kubernetes(...)，不能只设 token
最易被忽略的一点：Vault 返回的 LeaseDuration 是秒级整数，但 Beego 应用重启时不会自动继承上次的 lease_id ——每次启动都得重新 Login + Read + Renew，且 Renew 必须带原始 lease_id，不能拿新凭据的 ID 去续老 lease。
