Kubernetes的Secret本质是Base64编码而非加密，读取时data字段值已是解码后的原始字节，可直接转string；Volume挂载和环境变量注入的内容均为明文，无需二次解码。
Secret数据在Kubernetes里根本不是“加密”的，而是Base64编码
很多人卡在第一步：以为Secret是加密存储的，所以试图找“解密函数”。实际上，Kubernetes的Secret只是把原始数据做了base64.StdEncoding.EncodeToString()处理，并未加密。读取时只需反向解码——这点不搞清，后续所有操作都会走偏。
真正加密需靠外部机制（如KMS、etcd encryption at rest），但Pod内挂载或API读取到的data字段永远是Base64字符串。
用client-go读取Secret需要正确配置RBAC和解码data字段
直接调K8s API或用client-go读Secret时，常见错误是拿到secret.Data后直接当字符串用，结果看到一堆乱码。因为secret.Data是map[string][]byte，value已经是解码后的原始字节，但很多新手误以为它还是Base64字符串。
- 确保ServiceAccount有
get权限（rules中含resources: ["secrets"]） -
secret.Data["password"]返回的是[]byte，可直接转string()，无需再base64.StdEncoding.DecodeString() - 若用
rest.InClusterConfig()，必须运行在Pod内且挂载了ServiceAccount token
示例关键片段：
立即学习“go语言免费学习笔记（深入）”；
secret, err := clientset.CoreV1().Secrets("default").Get(context.TODO(), "my-secret", metav1.GetOptions{})
if err != nil {
log.Fatal(err)
}
password := string(secret.Data["password"]) // 直接转string，不是解Base64
挂载为Volume时，文件内容是明文，无需额外解码
当把Secret以Volume方式挂载进容器（比如挂到/etc/secrets），Kubernetes会自动将Base64解码后写入文件。你读/etc/secrets/password拿到的就是原始字符串，不是Base64。
- 路径必须匹配
secretName和items中定义的key - 文件权限默认是
0644，敏感数据建议用defaultMode: 0400限制读取 - 不要在代码里对挂载文件内容再做
base64.Decode，否则panic
环境变量注入的Secret值也是明文，但要注意key命名冲突
通过envFrom.secretRef或单个env.valueFrom.secretKeyRef注入时，值同样是解码后的原始数据。唯一容易出错的是key名：Kubernetes会把Secret的data键名转成环境变量名，而环境变量不支持-、.等字符，会被自动替换为_（例如db-password → DB_PASSWORD）。
- Go程序里用
os.Getenv("DB_PASSWORD")即可，别拼错大小写 - 如果Secret key含特殊字符，建议统一用下划线命名，避免转换歧义
- 环境变量注入无法控制字段顺序或结构，复杂配置建议用Volume挂载
kubectl get secret xxx -o yaml看数据，然后手动复制Base64字符串去解码——这容易漏掉换行符或空格，导致解码失败。真要调试，直接kubectl get secret xxx -o jsonpath='{.data.password}' | base64 -d更可靠。 
