不安全，Consul 默认开启匿名访问且Gin直连时若未配置ACL和专用token，会导致配置泄露、流量劫持等风险；必须按最小权限原则为注册、读配置、服务发现分别配置短期token，并在Watch前验证权限。
不安全，除非你显式配置 ACL 并禁用默认 token。
Consul 默认开启匿名访问，Gin 应用直连等于裸奔
Consul 0.8+ 默认启用 acl_disabled = true，意味着任何能访问 Consul HTTP API 的客户端（包括你的 Gin 服务）都能读写全部 KV、服务、策略——相当于把数据库 root 密码贴在门口。Gin 启动时若用 consulapi.NewClient() 直连本地 Consul agent，且未传 config.Token，就默认走匿名 token，权限等同于 anonymous 策略（默认是 read 所有 KV 和服务列表）。
- 攻击者只要能 curl 到
http://consul:8500/v1/kv/config/app/database/dsn，就能直接拿到生产库连接串 - 恶意服务注册同名实例，配合无 ACL 的健康检查，可劫持流量
- Gin 服务若误将
consul.Client暴露到 HTTP handler 中（比如挂到c.Set("consul", client)），可能被任意请求复用
ACL 必须按最小权限原则配，不能只靠网络隔离
仅靠防火墙或 K8s NetworkPolicy 拦 Consul 端口，挡不住内部横向移动。ACL 是唯一能约束“哪个服务能读哪段配置”的机制。Gin 服务注册和读取配置时，必须使用专用 token，且策略要精确到路径前缀。
- 注册服务时，token 只需
agent "your-service-name" { policy = "write" }，禁止agent_prefix "" { policy = "write" } - 读取配置时（如
client.KV().Get("config/web-api/database/dsn", nil)），token 策略应为key_prefix "config/web-api/" { policy = "read" }，不能放宽到"config/" - 避免复用同一个 token 做注册 + 配置读取 + 服务发现：注册需要
agent权限，配置读取需要key权限，服务查询需要service权限，混用会扩大泄露面
Gin 代码里硬编码 token 或从环境变量读都危险
token 是长期有效的凭证，一旦泄露无法单点吊销（除非手动删策略）。Gin 应用启动时若从 os.Getenv("CONSUL_TOKEN") 读取，该 token 就会出现在进程环境块中，ps、/proc/PID/environ 均可查看；若写死在代码或 YAML 配置里，版本库提交即泄露。
- 正确做法：用 Consul 的
loginAPI 动态获取短期 token（绑定 Kubernetes ServiceAccount 或 Vault role），再注入到 Gin 初始化流程中 - 退而求其次：通过文件挂载（如 K8s secret volume）读取 token，并确保文件权限为
0400，Gin 启动后立即syscall.Mlock()锁内存防止 swap 泄露 - 绝对不要在 Gin 的
gin.H{}响应体、日志或 Prometheus metrics 中打印 token 字符串（哪怕只是前几位）
Watch 配置变更时，ACL 错误会导致静默失败
Gin 用 client.KV().List("config/web-api/", &consulapi.QueryOptions{Wait: "60s"}) 实现配置热更新，但若 token 权限不足，Consul 不返回错误，而是直接返回空列表或旧数据——你的服务就卡在旧配置上，日志里还看不到报错。
- 必须在 Watch 前主动做一次
client.Status().Leader()+client.KV().Get("config/web-api/_health_check", nil)验证 token 可读性 - Watch 循环中捕获
consulapi.StatusCodeError，特别检查403 Forbidden（ACL 拒绝）和401 Unauthorized（token 过期或无效） - 不要依赖
viper.AddRemoteProvider("consul", "localhost:8500", "config/web-api/")这类封装，它底层不校验 ACL 结果，出错只打 warning
ACL 策略不是配一次就完事，每次新增配置路径或服务名，都得同步更新策略并轮换 token——这点比 TLS 证书续期还容易被漏掉。
