Nacos 的多环境配置管理是微服务架构的核心能力，通过 命名空间（Namespace） + 分组（Group） + Data ID 实现精细化管理。

一、核心概念

维度 作用 生产环境推荐值
Namespace 环境隔离（如dev/test/prod） prod/test/dev
Group 项目/模块分组（如支付服务配置） PAYMENT_GROUP
Data ID 具体配置文件标识 user-service-db.yml

最佳实践：Data ID = ${spring.application.name}-${profile}.${file-extension}

二、详细操作步骤（Spring Cloud Alibaba）

步骤1：Nacos 控制台创建命名空间

  1. 访问 http://nacos-server:8848/nacos
  2. 命名空间 → 新建命名空间：
    • dev：命名空间ID=dev，描述=开发环境
    • test：命名空间ID=test
    • prod：命名空间ID=prod

创建命名空间

步骤2：为不同环境创建配置文件

  1. Data ID 规范：

    • 开发环境：user-service-dev.yml
    • 测试环境：user-service-test.yml
    • 生产环境：user-service-prod.yml

  2. 配置内容示例（生产环境）：

    # user-service-prod.yml
spring:
  datasource:
    url: jdbc:mysql://prod-db:3306/user?useSSL=false
    username: prod_user
    password: ${DB_PASSWORD}  # 加密占位符

logging:
  level:
    root: WARN

步骤3：应用配置（bootstrap.yml）

spring:
  application:
    name: user-service  # 服务名（Data ID前缀）
  profiles:
    active: @profileActive@  # Maven/Gradle动态注入

  cloud:
    nacos:
      config:
        server-addr: 127.0.0.1:8848
        namespace: ${NACOS_NAMESPACE:dev} # 默认dev环境
        group: USER_GROUP                 # 项目组名
        file-extension: yaml              # 文件格式
        shared-configs:                   # 共享配置
          - data-id: common-mysql.yaml
            group: COMMON_GROUP
            refresh: true
        extension-configs:                # 扩展配置
          - data-id: redis-config.yaml
            group: MIDDLEWARE_GROUP

步骤4：启动命令注入环境变量

# 开发环境
java -jar user-service.jar --spring.profiles.active=dev

# 生产环境（通过环境变量指定Namespace）
docker run -e NACOS_NAMESPACE=prod -e DB_PASSWORD=****** user-service

三、多环境配置优先级

graph TD
    A[启动参数] -->|最高优先级| B[应用配置]
    B --> C[extension-configs]
    C --> D[shared-configs]
    D --> E[默认Data ID配置]
    E --> F[Nacos默认配置]

公式：启动参数 > extension-configs > shared-configs > ${spring.application.name}-${profile}.yml > ${spring.application.name}.yml

四、敏感数据加密（生产环境必须）

方案1：Nacos内置加密

  1. 配置文件中使用加密占位符： 
    password: ${cipher:AES:AKIDZSBj...==}
  2. 启动时注入密钥： 
    -Dnacos.core.auth.plugin.nacos.token.secret.key=your_secret_key

方案2：集成Jasypt

# 1. 添加依赖
<dependency>
    <groupId>com.github.ulisesbocchio</groupId>
    <artifactId>jasypt-spring-boot-starter</artifactId>
    <version>3.0.5</version>
</dependency>

# 2. 配置加密密钥
jasypt:
  encryptor:
    password: ${JASYPT_PASSWORD:default_key} # 从环境变量读取

# 3. 生成加密值（命令行）
java -cp jasypt-1.9.3.jar org.jasypt.intf.cli.JasyptPBEStringEncryptionCLI \
  input="real_password" password=your_jasypt_key algorithm=PBEWithMD5AndDES

# 4. 配置文件中使用
password: ENC(密文字符串)

五、常见错误与解决方案

错误现象 原因 解决方案
配置未生效 未正确激活Profile 检查spring.profiles.active启动参数
生产配置被开发环境覆盖 Namespace未隔离 确认spring.cloud.nacos.config.namespace的值
加密配置解密失败 密钥未传入或错误 确保启动命令包含-Djasypt.encryptor.password
共享配置未加载 shared-configs顺序错误 按优先级从低到高排列配置
修改配置后服务未刷新 未启用自动刷新 添加@RefreshScope注解或设置refresh: true

六、生产环境最佳实践

  1. 命名空间权限控制

    • 为每个环境创建独立Nacos账号
    • 权限分配： 
      -- 开发组只能操作dev命名空间
GRANT WRITE_CONFIG ON dev.* TO 'dev_team'@'%';
-- 运维组管理prod
GRANT ALL ON prod.* TO 'ops'@'%';

  2. 配置版本管理

    • 每次修改配置必须填写变更原因
    • 启用配置历史版本（自动保留30天）
    • 重大变更前点击克隆备份

  3. 审计与监控

    • 开启Nacos操作日志审计： 
      # application.properties
nacos.core.auth.enable.userAgentAuthWhite=false
nacos.audit.log.enabled=true
    • 监控配置变更告警（集成Prometheus）： 
      # prometheus配置
- job_name: 'nacos_config'
  metrics_path: '/nacos/actuator/prometheus'
  static_configs:
    - targets: ['nacos-server:8848']

七、多环境同步脚本

# 将dev配置同步到test环境（Python示例）
import requests

def copy_config(source_ns, target_ns, data_id, group):
    url = "http://nacos:8848/nacos/v1/cs/configs"
    # 1. 获取源配置
    params = {"dataId": data_id, "group": group, "tenant": source_ns}
    resp = requests.get(url, params=params)
    
    # 2. 写入目标环境
    payload = {
        "dataId": data_id,
        "group": group,
        "content": resp.text,
        "tenant": target_ns
    }
    requests.post(url, data=payload)

# 同步数据库配置
copy_config("dev", "test", "mysql-config.yaml", "COMMON_GROUP")

八、灾备方案

  1. 配置导出备份 
    # 导出prod命名空间所有配置
nacos-export -server 127.0.0.1:8848 -namespace prod -output /backup/nacos-prod.zip
  2. 跨集群同步
    • 使用Nacos Sync工具
    • 配置双写： 
      spring:
  cloud:
    nacos:
      config:
        import:
          - nacos://cluster1:8848
          - nacos://cluster2:8848

终极建议：

  1. 生产环境Namespace必须用物理隔离（独立Nacos集群）
  2. 敏感配置100%加密，密钥通过Vault或K8s Secret管理
  3. 每次发布执行配置差异对比（Diffy工具）
  4. 核心服务配置变更走审批流程（集成Jira）