2. Secrets 管理基础：什么是 Secrets，常见管理方案

在性能测试与系统架构中，Secrets 是任何需要被保护、不能被明文存储或传输的敏感数据。缓存命中率分析的第一步，是理解 Secrets 的本质以及主流管理方案如何影响访问路径。

2.1 什么是 Secrets

Secrets 是应用程序、服务或基础设施用于身份认证、加密通信或授权访问的敏感凭证。一旦泄露，攻击者可以冒充合法组件、解密数据或提升权限。

2.2 常见 Secrets 管理方案

生产环境中，Secrets 不应硬编码在配置文件或环境变量中，而应通过专用的 Secrets 管理服务动态获取。以下三种方案覆盖了从云原生到自建基础设施的主流选择。

2.2.1 HashiCorp Vault

• 架构： 客户端通过 REST API 或 SDK 向 Vault 集群请求 Secrets；Vault 支持动态 Secrets（每次请求生成唯一凭证）和静态 Secrets（长期存储）。
• 缓存机制： Vault 客户端库内置缓存（如 Go 的 vault/api 的 ReadWithData 缓存），默认 TTL 由 secret_cache_ttl 控制。
• 性能瓶颈： 高并发下 Vault 存储后端（Consul/Raft）的线性一致性写入会成为瓶颈；缓存未命中时，请求穿透到后端存储。

2.2.2 AWS Secrets Manager

• 架构： 通过 AWS SDK 调用 GetSecretValue API；Secrets 存储在 AWS 托管的 HSM 中。
• 缓存机制： AWS SDK 默认不缓存，但官方推荐使用 secretsmanager-caching 库（Java/Python/Go），支持 LRU 缓存 + 后台刷新。
• 性能瓶颈： API 调用有 Region 级限流（默认每秒 1000 请求）；缓存未命中时，网络延迟 + 解密开销叠加。

2.2.3 Kubernetes Secrets

• 架构： Secrets 以 Base64 编码存储在 etcd 中；Pod 通过 Volume 挂载或环境变量注入。
• 缓存机制： kubelet 在节点本地缓存 Secrets（--secrets-cache-ttl 默认 1 分钟）；API Server 使用 etcd watch 机制推送变更。
• 性能瓶颈： etcd 的存储容量和 QPS 限制；大规模集群中 Secrets 更新时，所有节点同时拉取新版本可能引发网络风暴。

2.3 Secrets 访问路径与缓存层次

下图展示了从应用请求到 Secrets 存储的完整路径，以及缓存可能插入的位置。每个缓存层都可能成为性能瓶颈或优化点。

2.4 缓存命中性能测试的关键维度

基于上述方案，性能测试需要覆盖以下三个维度：

1. 缓存命中率基线： 在稳定状态下，测量客户端缓存命中率（理想值 > 99%）。
2. 缓存未命中惩罚： 模拟缓存清空或 TTL 过期，测量回源延迟（P99 延迟增幅）。
3. 并发穿透场景： 大量请求同时因缓存失效而回源，观察 Secrets 管理服务的吞吐和限流表现。

2.5 三种方案的缓存配置对比