ConfigMap 与 Secret

这一课你将能做到

1. 用清单方式创建 ConfigMap 与 Secret，并以环境变量注入到 Pod/Deployment
2. 说清「配置烤进镜像」与「配置外置」的利弊，对照 Compose 的 environment/env_file 建立映射
3. 知道 Secret 默认只是 Base64 编码不是加密，说出生产环境的三层加固手段

为什么要学

镜像应该「一次构建、处处运行」：本站 backend 的 SPRING_PROFILES_ACTIVE、DB_HOST、REDIS_HOST、数据库密码，如果写死在 Dockerfile 或 application.yml 里，每个环境就得打一个镜像——构建产物爆炸，泄密风险也随镜像层扩散。

K8s 的解法与 Compose 的 environment/env_file 同构：ConfigMap 放非敏感配置，Secret 放敏感数据，两者都注入到 Pod。Spring Boot 恰好天然读环境变量（SPRING_DATASOURCE_URL 这类宽松绑定），所以「本地 .env / Compose environment / K8s ConfigMap+Secret」可以共用同一套键名约定——这是本课最实际的工程价值。

先建立图像

镜像（只读配方，不含环境差异）
   +
ConfigMap（普通配置） + Secret（敏感信息）
   ↓ 注入
Pod 里的进程读到环境变量 / 配置文件

注入两种方式：
  env / envFrom  → 环境变量（Spring Boot 最友好）
  volumeMount    → 文件（适合整份 application.yml、证书）

	ConfigMap	Secret
用途	普通配置、开关、地址	口令、令牌、证书材料
etcd 中的形态	明文	Base64 编码（默认可解码，非加密）
大小限制	约 1MiB	约 1MiB
谁能读	RBAC 控制	RBAC 控制（应更严）

人话：Secret 是「别随手 cat 到聊天群里的类型」，不是保险箱本身。

跟着做

步骤 1：创建本站 backend 的 ConfigMap

cm-backend.yaml：

apiVersion: v1
kind: ConfigMap
metadata:
  name: backend-config
data:
  SPRING_PROFILES_ACTIVE: "prod"
  DB_HOST: "mysql"          # 集群内 Service 名或集群外地址
  REDIS_HOST: "redis"

kubectl apply -f cm-backend.yaml
kubectl get configmap backend-config -o yaml

命令式快捷方式（冒烟用，正式环境仍推荐清单进 Git）：

kubectl create configmap quick --from-literal=KEY1=v1 --from-literal=KEY2=v2

步骤 2：创建 Secret

secret-db.yaml（用 stringData 免手算 Base64）：

apiVersion: v1
kind: Secret
metadata:
  name: db-secret
type: Opaque
stringData:
  DB_PASSWORD: "change-me-demo"