面对数十个服务，您无法为每次部署临时管理配置和机密。集中式配置将设置保存在一个统一管理的源中，而机密管理器以安全的方式存储敏感值。
配置位于构建产物外部，因此同一个镜像可以在 dev/staging/prod 中以不同的设置运行。
# values injected at runtime, not baked into the image
DATABASE_URL: ${DB_URL} # per-environment
FEATURE_NEW_CHECKOUT: "true" # toggle without redeploy
PAYMENT_TIMEOUT_MS:
| 方案 | 示例 |
|---|---|
| 配置服务器 | Spring Cloud Config, Consul |
| Orchestrator 原生支持 | Kubernetes ConfigMaps |
| 机密管理器 | HashiCorp Vault, AWS Secrets Manager |
切勿将机密以纯文本形式存储在 ConfigMaps 或 git 中。
# fetch a secret at startup, short-lived, audited
export DB_PASSWORD=$(vault kv get -field=password secret/orders/db)
✓ Externalize config (12-factor): config in the environment
✓ Secrets in a dedicated manager with rotation + audit logs
✓ Dynamic refresh for non-secret toggles (no redeploy)
✗ Never commit secrets to source control
集中式配置允许您在多个服务之间更改行为（超时、功能开关）和轮换凭证，而无需重新构建和重新部署每个服务。
将机密保存在真正的机密管理器中——而不是在镜像或 git 中——是一项基本的安全要求，随着服务数量的增加而扩展。