Spring Cloud Vault 设置 Token 的核心在于理解其配置层级、认证机制以及不同场景下的具体配置方法。Token 是客户端访问 Vault 服务器的关键凭证，其设置方式直接影响应用能否成功连接到 Vault 并获取配置。

1. 核心配置层级与文件

Spring Cloud Vault 遵循 Spring Boot 的配置加载顺序，其 Token 等关键配置必须定义在 bootstrap.yml 或 bootstrap.properties 文件中，以确保在应用启动的最早阶段被加载，从而初始化 Vault 客户端。如果错误地放置在 application.yml 中，配置可能无法生效 。

配置优先级：

1. bootstrap.yml / bootstrap.properties (最高优先级，用于外部配置源初始化)
2. application.yml / application.properties
3. 环境变量
4. 命令行参数

2. Token 认证的详细配置方法

Token 认证是最直接的方式。您需要在 bootstrap.yml 中配置 Vault 服务器的地址、认证类型及 Token 值。

# src/main/resources/bootstrap.yml
spring:
  cloud:
    vault:
      # Vault 服务器地址
      uri: http://192.168.1.125:8200
      # 启用 Token 认证方式
      authentication: TOKEN
      # 您的 Vault 访问 Token
      token: s.xxxxxxxxxxxxxxxx
      # KV secrets engine 版本 (常用 v2)
      kv:
        enabled: true
        backend: secret
        default-context: application
        profile-separator: '/'
        application-name: myapp

关键参数说明：

配置项	说明	示例/默认值
spring.cloud.vault.uri	Vault 服务器的 HTTP/HTTPS 地址。	http://localhost:8200
spring.cloud.vault.authentication	指定认证方式，设为 TOKEN。	TOKEN
spring.cloud.vault.token	从 Vault 获取的客户端令牌。此为敏感信息。	s.h4ppyt0k3n
spring.cloud.vault.kv.enabled	是否启用 Key-Value 后端。	true
spring.cloud.vault.kv.backend	KV 引擎的挂载路径。	secret
spring.cloud.vault.kv.default-context	默认的配置上下文路径。	application

注意事项：

• Token 安全：直接将 Token 硬编码在配置文件中存在安全风险。在生产环境中，强烈建议通过环境变量、命令行参数或更安全的秘密管理服务来传递 Token。
• 路径约定：Spring Cloud Vault 会根据配置自动构建访问路径。例如，对于上述配置，应用启动时会尝试从 secret/application, secret/myapp 等路径读取配置 。

3. 通过环境变量设置 Token (推荐用于生产环境)

为避免 Token 泄露，最佳实践是通过操作系统环境变量或容器环境变量来设置。

1. 修改 bootstrap.yml，使用占位符引用环境变量：

spring:
  cloud:
    vault:
      uri: ${VAULT_ADDR:http://localhost:8200}
      authentication: TOKEN
      token: ${VAULT_TOKEN} # 从环境变量 VAULT_TOKEN 读取

2. 在启动应用时设置环境变量：

• Linux/macOS:

  export VAULT_TOKEN="s.your-vault-token"
  export VAULT_ADDR="http://vault.example.com:8200"
  java -jar your-application.jar
  

• Windows (命令行):

  set VAULT_TOKEN=s.your-vault-token
  set VAULT_ADDR=http://vault.example.com:8200
  java -jar your-application.jar
  

• Docker:

  # docker-compose.yml 示例
  version: '3'
  services:
    your-app:
      image: your-app:latest
      environment:
        - VAULT_ADDR=http://vault:8200
        - VAULT_TOKEN=s.your-vault-token
  

• Kubernetes:

  # deployment.yaml 示例片段
  spec:
    containers:
    - name: myapp
      image: myapp:latest
      env:
      - name: VAULT_TOKEN
        valueFrom:
          secretKeyRef:
            name: vault-credentials
            key: token
  

4. 其他认证方式 (替代 Token)

对于生产系统，Spring Cloud Vault 支持更安全、可自动轮换的认证方式，如 APP_ROLE, AWS_IAM, KUBERNETES 等 。这些方式避免了静态 Token 的长期管理问题。

以 AppRole 为例的配置：

spring:
  cloud:
    vault:
      uri: http://localhost:8200
      authentication: APPROLE
      app-role:
        role-id: ${APP_ROLE_ROLE_ID}
        secret-id: ${APP_ROLE_SECRET_ID}
        # 可选：AppRole 在 Vault 中的挂载路径，默认为 `approle`
        app-role-path: approle

5. 故障排查与验证

如果配置后应用无法连接到 Vault，请按以下步骤排查：

1. 确认配置文件：确保配置位于 bootstrap.yml 而非 application.yml 。
2. 检查 Vault 服务：使用 vault status 命令或直接访问 {vault-uri}/v1/sys/health 确认 Vault 服务正常运行。
3. 验证 Token 权限：使用该 Token 通过 Vault CLI 或 API 手动访问配置路径，确认其具有 read 权限。

   VAULT_TOKEN="s.your-token" vault kv get secret/application
   

4. 查看应用日志：启用 Spring Boot 的调试日志，查看 Vault 客户端的初始化过程。

   # application.yml
   logging:
     level:
       org.springframework.cloud.vault: DEBUG
       org.springframework.web.client.RestTemplate: DEBUG
   

5. 网络连通性：确保应用所在网络能够访问 spring.cloud.vault.uri 指定的地址和端口。

总结与最佳实践

场景	推荐方法	关键配置/操作
本地开发/测试	在 bootstrap.yml 中硬编码 Token。	配置 spring.cloud.vault.token。
CI/CD 或生产环境	通过环境变量注入 Token。	配置 token: ${VAULT_TOKEN}，并在运行时设置环境变量。
追求更高安全性	使用动态认证机制（如 AppRole, Kubernetes）。	配置 authentication: APPROLE 并提供 role-id 和 secret-id。
通用要求	必须使用 bootstrap.yml 文件进行配置。	确保所有 Vault 相关配置位于该文件。

核心要点重申：Spring Cloud Vault 的 Token 设置，本质是在 bootstrap.yml 中正确配置 spring.cloud.vault.token 属性，并确保该 Token 对目标 Secrets 路径有读取权限。为了安全，生产环境务必通过外部机制（如环境变量）动态注入 Token，并考虑迁移至更先进的动态认证方式 。

---

参考来源

• 使用Spring Cloud Config进行分布式配置：Vault 后端
• Spring Cloud Vault 2.2.2 是 Spring Cloud 官方提供的用于与 HashiCorp Vault 集成的客户端库版本
• 【spring实战第五版遇到的坑】第14章spring.cloud.config.uri和token配置项无效
• Spring Boot加密配置属性--Spring Cloud Vault详解
• Spring Boot集成Spring Cloud Vault进行安全密钥管理
• 【Spring Cloud】：如何使用Vault进行配置管理