《Kubernetes知识篇：配置管理中心Secret》

最新推荐文章于 2023-01-04 14:04:53 发布
最新推荐文章于 2023-01-04 14:04:53 发布
阅读量455 收藏
点赞数
分类专栏： 《企业级K8s集群运维实战》 文章标签： kubernetes 容器 云原生
本文为博主原创文章，未经博主允许不得转载。
本文链接：https://blog.csdn.net/m0_37814112/article/details/121035455
版权

文章目录


一、Secret 概述

1.1、Secret 是什么？

Secret官方解释

Secret是一种包含少量敏感信息例如密码、令牌或密钥的对象。 这样的信息可能会被放在Pod规约中或者镜像中。 使用Secret意味着你不需要在应用程序代码中包含机密数据。

由于创建Secret可以独立于使用它们的Pod， 因此在创建、查看和编辑Pod的工作流程中暴露 Secret（及其数据）的风险较小。 Kubernetes 和在集群中运行的应用程序也可以对 Secret 采取额外的预防措施， 例如避免将机密数据写入非易失性存储。

Secret 类似于ConfigMap但专门用于保存机密数据。

总结：对于一些敏感数据，如密码、私钥等数据时，要用secret类型。

1.2、Secret类型

创建Secret时，你可以使用Secret资源的type字段或者与其等价的kubectl命令行参数（如果有的话）为其设置类型。 Secret的type有助于对不同类型机密数据的编程处理。

Kubernetes提供若干种内置的类型，用于一些常见的使用场景。 针对这些类型，Kubernetes所执行的合法性检查操作以及对其所实施的限制各不相同。
在这里插入图片描述
通过为Secret对象的type字段设置一个非空的字符串值，你也可以定义并使用自己Secret类型。如果type值为空字符串，则被视为Opaque类型。 Kubernetes并不对类型的名称作任何限制。不过，如果你要使用内置类型之一， 则你必须满足为该类型所定义的所有要求。

二、创建Secret

2.1、通过命令行创建

如下图所示，secret 可选参数有三种
generic: 通用类型，通常用于存储密码数据。
tls：此类型仅用于存储私钥和证书。
docker-registry: 若要保存 docker 仓库的认证信息的话，就必须使用此种类型来创建。
如下图所示：
在这里插入图片描述
通过–from-literal可实现命令行创建secret如下图所示：
在这里插入图片描述
总结：使用–from-literal== 标签提供Secret 数据。 可以多次使用此标签，提供多个键值对。特殊字符（例如：$，\，*，= 和 !）需要进行转义，转义密码最简便的方法是用单引号括起来。如下所示：

kubectl create secret generic db-user-pass \
  --from-literal=username=root \
  --from-literal=password='S!B\*d$zDsb='

如上图所示，password 的值是加密的，但secret的加密是一种伪加密，它仅仅是将数据做base64的编码

解码Secret

[root@k8s-client-17 secret]# kubectl get secrets 
NAME                                 TYPE                                  DATA   AGE
default-token-7nx4h                  kubernetes.io/service-account-token   3      43d
mysql-secret                         Opaque                                2      9m46s
nfs-client-provisioner-token-q2x5d   kubernetes.io/service-account-token   3      10d
[root@k8s-client-17 secret]# kubectl get secrets mysql-secret -o jsonpath='{.data}'
{"mysql_passwd":"MTIzNDU2","mysql_user":"cm9vdA=="}[root@k8s-client-17 secret]# echo 'cm9vdA==' | base64 -d
root[root@k8s-client-17 secret]# echo 'MTIzNDU2' | base64 -d
123456[root@k8s-client-17 secret]#

2.2、通过文件创建

通过----from-file可实现文件创建secret如下图所示：
在这里插入图片描述
总结：不需要对文件中包含的密码字符串中的特殊字符进行转义。

如上图所示，password和username的值是加密的，但secret的加密是一种伪加密，它仅仅是将数据做base64的编码

解码Secret

[root@k8s-client-17 secret]# kubectl get secrets 
NAME                                 TYPE                                  DATA   AGE
db-user-pass                         Opaque                                2      6m9s
default-token-7nx4h                  kubernetes.io/service-account-token   3      43d
mysql-secret                         Opaque                                2      25m
nfs-client-provisioner-token-q2x5d   kubernetes.io/service-account-token   3      11d
[root@k8s-client-17 secret]# kubectl get secrets db-user-pass -o jsonpath='{.data}'
{"password.txt":"MTIzNDU2","username.txt":"cm9vdA=="}[root@k8s-client-17 secret]# echo 'cm9vdA==' | base64 -d
root[root@k8s-client-17 secret]# echo 'MTIzNDU2' | base64 -d
123456[root@k8s-client-17 secret]#

2.3、通过YAML配置文件

字段详解

[root@k8s-client-17 secret]# kubectl explain secret
KIND:     Secret
VERSION:  v1

DESCRIPTION:
     Secret holds secret data of a certain type. The total bytes of the values
     in the Data field must be less than MaxSecretSize bytes.

FIELDS:
   apiVersion	<string>
   data	<map[string]string> #"key:value" 格式的数据、通产格式敏感信息、数据格式需要是以Base64格式编码的字符串、因此需要用户实现完成编码
   immutable	<boolean>
   kind	<string>
   metadata	<Object>
   stringData	<map[string]string> #以明文格式(非Base64编码)定义的"key:value" 数据；无须用户实现对数据进行Base64编码
   type	<string>

一般数据加密使用base64编码，所以可以先使用base64编码对用户名和密码进行加密：

[root@k8s-client-17 secret]# echo -n 'admin' | base64
YWRtaW4=
[root@k8s-client-17 secret]# echo -n 'root' | base64
cm9vdA==

2.3.1、data

编写一个Secret配置文件，如下所示：

apiVersion: v1
kind: Secret
metadata:
  name: db-mysql-secret
data: #data字段以key/value的方式存储base64编码的任意数据,key必须由字母、数字、-，_ 或 . 组成
  username: cm9vdA== #username是key
  password: MTIzNDU2 #password是key 
type: Opaque #内置类型，用户定义的任意数据

如下图所示，password和username的值是加密的，但secret的加密是一种伪加密，它仅仅是将数据做base64的编码
在这里插入图片描述
解码Secret

[root@k8s-client-17 secret]# kubectl get secrets
NAME                                 TYPE                                  DATA   AGE
db-mysql-secret                      Opaque                                2      2m56s
db-user-pass                         Opaque                                2      54m
default-token-7nx4h                  kubernetes.io/service-account-token   3      43d
mysql-secret                         Opaque                                2      73m
nfs-client-provisioner-token-q2x5d   kubernetes.io/service-account-token   3      11d
[root@k8s-client-17 secret]# kubectl get secrets db-mysql-secret -o jsonpath='{.data}'
{"password.txt":"MTIzNDU2","username.txt":"cm9vdA=="}[root@k8s-client-17 secret]# echo 'cm9vdA==' | base64 -d
root[root@k8s-client-17 secret]# echo 'MTIzNDU2' | base64 -d
123456[root@k8s-client-17 secret]#

2.3.2、stringData

方式一：
编写一个Secret配置文件，如下所示：

apiVersion: v1
kind: Secret
metadata:
  name: db-mysql-secret
stringData: #stringData字段提供了明文格式的键值数据,从而免去了事先进行手动编码的麻烦
  username: 'root'
  password: '123456'
type: Opaque #内置类型，用户定义的任意数据

其使用stringData提供了明文格式的键值数据、从而免去了事先进行手动编码的麻烦，如下图所示：
在这里插入图片描述
总结：以明文格式(非Base64编码)定义的"key:value" 数据；无须用户实现对数据进行Base64编码，而是在创建为Secret对象时自动进行编码并保存于data字段中stringData字段中的明文不会被API Servers输出。

secret解码

[root@k8s-client-17 secret]# kubectl get secrets db-mysql-secret -o jsonpath='{.data}'
{"password":"MTIzNDU2","username":"cm9vdA=="}[root@k8s-client-17 secret]# echo 'cm9vdA==' | base64 -d
root[root@k8s-client-17 secret]# echo 'MTIzNDU2' | base64 -d

方式二：
编写一个Secret配置文件，如下所示：

apiVersion: v1
kind: Secret
metadata:
  name: db-mysql-secret
stringData: #stringData字段提供了明文格式的键值数据,从而免去了事先进行手动编码的麻烦
  config.yaml: |
    username: 'root'
    password: '123456'
type: Opaque #内置类型，用户定义的任意数据

如下图所示：
在这里插入图片描述
总结：命令kubectl get 和kubectl describe默认不显示Secret的内容。这是为了防止Secret意外地暴露给旁观者或者保存在终端日志中。

secret解码

[root@k8s-client-17 secret]# kubectl get secrets db-mysql-secret -o jsonpath='{.data}'
{"config.yaml":"dXNlcm5hbWU6ICdyb290JwpwYXNzd29yZDogJzEyMzQ1NicK"}[root@k8s-client-17 secret]# echo 'dXNlcm5hbWU6ICdyb290JwpwYXNzd29yZDogJzEyMzQ1NicK' | base64 -d
username: 'root'
password: '123456'

三、使用Secret

3.1、通过环境变量使用

方法一：使用valueFrom、secretKeyRef、name、key指定要用的key。

---
apiVersion: v1
kind: Secret
metadata:
  name: db-mysql-secret
data: #data字段以key/value的方式存储base64编码的任意数据,key必须由字母、数字、-，_ 或 . 组成
  username: cm9vdA== #username是key
  password: MTIzNDU2 #password是key 
type: Opaque #内置类型，用户定义的任意数据 
---
apiVersion: v1
kind: Pod
metadata:
  name: nginx
spec:
  containers:
  - name: nginx
    image: nginx
    imagePullPolicy: IfNotPresent
    env:
    - name: USER_NAME  #声明环境变量USER_NAME
      valueFrom:
        secretKeyRef:
          name: db-mysql-secret #secretKeyRef中的name与上面创建的secret的name必须保持一致，则secret中的配置才能被pod引用
          key: username #key是上线创建Secret中的username
    - name: PASS_WORD #声明环境变量PASS_WORD
      valueFrom:
        secretKeyRef:
          name: db-mysql-secret #secretKeyRef中的name与上面创建的secret的name必须保持一致，则secret中的配置才能被pod引用
          key: password #key是上线创建Secret中的password

进入nginx容器查看定义的变量，如下图所示：
在这里插入图片描述

方法二：通过envFrom、secretRef、name使得configmap中的所有key/value对都自动变成环境变量

---
apiVersion: v1
kind: Secret
metadata:
  name: db-mysql-secret
data: #data字段以key/value的方式存储base64编码的任意数据,key必须由字母、数字、-，_ 或 . 组成
  username: cm9vdA== #username是key
  password: MTIzNDU2 #password是key 
type: Opaque #内置类型，用户定义的任意数据 
---
apiVersion: v1
kind: Pod
metadata:
  name: nginx
spec:
  containers:
  - name: nginx
    image: nginx
    imagePullPolicy: IfNotPresent
    envFrom:
    - secretRef:  #secretKeyRef中的name与上面创建的secret的name必须保持一致，则secret中的配置才能被pod引用
        name: db-mysql-secret

进入nginx容器查看定义的变量，如下图所示：
在这里插入图片描述

3.2、作为volume挂载使用

---
apiVersion: v1
kind: Secret
metadata:
  name: db-mysql-secret
data: #data字段以key/value的方式存储base64编码的任意数据,key必须由字母、数字、-，_ 或 . 组成
  username: cm9vdA== #username是key
  password: MTIzNDU2 #password是key 
type: Opaque #内置类型，用户定义的任意数据 
---
apiVersion: v1
kind: Pod
metadata:
  name: nginx
spec:
  containers:
  - name: nginx
    image: nginx
    imagePullPolicy: IfNotPresent
    volumeMounts:
    - name: foo #需与下面定义的存储卷名称保持一致
      mountPath: /etc/foo #容器里挂载目录
      readOnly: true
  volumes:
  - name: foo #基于secret创建存储卷
    secret:
      secretName: db-mysql-secret  #secretName的值与上面创建的secret的name必须保持一致，则secret中的配置才能被pod引用

进入nginx容器查看定义的变量，如下图所示：
在这里插入图片描述

四、Secret配置更新

1、使用该Secret挂载的env不会同步更新

[root@k8s-client-17 pod1]# echo -n 'admin' | base64
YWRtaW4=
[root@k8s-client-17 pod1]# echo -n '123789' | base64
MTIzNzg5
[root@k8s-client-17 pod1]# echo -n 'root' | base64
cm9vdA==
[root@k8s-client-17 pod1]# echo -n '123456' | base64
MTIzNDU2

说明：修改Secret中的变量，如下所示

修改前
---
apiVersion: v1
kind: Secret
metadata:
  name: db-mysql-secret
data: #data字段以key/value的方式存储base64编码的任意数据,key必须由字母、数字、-，_ 或 . 组成
  username: cm9vdA== #username是key
  password: MTIzNDU2 #password是key 
type: Opaque #内置类型，用户定义的任意数据 
---
apiVersion: v1
kind: Pod
metadata:
  name: nginx
spec:
  containers:
  - name: nginx
    image: nginx
    imagePullPolicy: IfNotPresent
    envFrom:
    - secretRef:  #secretKeyRef中的name与上面创建的secret的name必须保持一致，则secret中的配置才能被pod引用
        name: db-mysql-secret
        
修改后
---
apiVersion: v1
kind: Secret
metadata:
  name: db-mysql-secret
data: #data字段以key/value的方式存储base64编码的任意数据,key必须由字母、数字、-，_ 或 . 组成
  username: YWRtaW4= #username是key
  password: MTIzNzg5 #password是key 
  #username: cm9vdA== #username是key
  #password: MTIzNDU2 #password是key 
type: Opaque #内置类型，用户定义的任意数据 
---
apiVersion: v1
kind: Pod
metadata:
  name: nginx
spec:
  containers:
  - name: nginx
    image: nginx
    imagePullPolicy: IfNotPresent
    envFrom:
    - secretRef:  #secretKeyRef中的name与上面创建的secret的name必须保持一致，则secret中的配置才能被pod引用
        name: db-mysql-secret

进入容器nginx，查看变量没有发生变化，如下图所示
在这里插入图片描述

2、使用该secret挂载的Volume 中的数据需要一段时间才能同步更新。

说明：修改Secret中的变量，如下所示

修改前
---
apiVersion: v1
kind: Secret
metadata:
  name: db-mysql-secret
data: #data字段以key/value的方式存储base64编码的任意数据,key必须由字母、数字、-，_ 或 . 组成
  username: cm9vdA== #username是key
  password: MTIzNDU2 #password是key 
type: Opaque #内置类型，用户定义的任意数据 
---
apiVersion: v1
kind: Pod
metadata:
  name: nginx
spec:
  containers:
  - name: nginx
    image: nginx
    imagePullPolicy: IfNotPresent
    volumeMounts:
    - name: foo #需与下面定义的存储卷名称保持一致
      mountPath: /etc/foo #容器里挂载目录
      readOnly: true
  volumes:
  - name: foo #基于secret创建存储卷
    secret:
      secretName: db-mysql-secret  #secretName的值与上面创建的secret的name必须保持一致，则secret中的配置才能被pod引用

修改后
---
apiVersion: v1
kind: Secret
metadata:
  name: db-mysql-secret
data: #data字段以key/value的方式存储base64编码的任意数据,key必须由字母、数字、-，_ 或 . 组成
  #username: cm9vdA== #username是key
  #password: MTIzNDU2 #password是key 
  username: YWRtaW4= #username是key
  password: MTIzNzg5 #password是key 
type: Opaque #内置类型，用户定义的任意数据 
---
apiVersion: v1
kind: Pod
metadata:
  name: nginx
spec:
  containers:
  - name: nginx
    image: nginx
    imagePullPolicy: IfNotPresent
    volumeMounts:
    - name: foo #需与下面定义的存储卷名称保持一致
      mountPath: /etc/foo #容器里挂载目录
      readOnly: true
  volumes:
  - name: foo #基于secret创建存储卷
    secret:
      secretName: db-mysql-secret  #secretName的值与上面创建的secret的name必须保持一致，则secret中的配置才能被pod引用

说明：修改secret中的变量后，重新apply资源清单文件

[root@k8s-client-17 pod1]# kubectl apply -f pod2.yaml 
secret/db-mysql-secret configured
pod/nginx configured

进入容器nginx，等待一段时间后，查看变量已经发生变化，username的值由之前的root变成了admin，password的值由之前的123456变成了123789，如下图所示：
在这里插入图片描述

总结：整理不易，如果对你有帮助，可否点赞关注一下？

更多详细内容请参考：企业级K8s集群运维实战

东城绝神
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
【Kubernetes】配置管理中心Secret
hj的博客
01-02 881
上面我们学习的Configmap一般是用来存放明文数据的，如配置文件，对于一些敏感数据，如密码、私钥等数据时，要用secret类型。
K8S secret
MiddenEurope的博客
08-31 489
Secret 是一种包含少量敏感信息例如密码、令牌或密钥的对象。 这样的信息可能会被放在 Pod 规约中或者镜像中。 用户可以创建 Secret，同时系统也创建了一些 Secret。 要使用 Secret，Pod 需要引用 Secret。 Pod 可以用三种方式之一来使用 Secret： 作为挂载到一个或多个容器上的卷中的文件。 作为容器的环境变量 由kubelet 在为 Pod 拉取镜像时使用 Secret 对象的名称必须是合法的DNS 子域名。 在为创建 Secret 编写配置文件时，你...
secret资源简介和应用
soliso
01-04 713
secret资源简介和应用
Kubernetes学习笔记-ConfigMap和Secret：配置应用程序（3）20220503
wwxsoft的专栏
05-05 272
使用Secret给容器传递敏感数据 1、secret 配置通常会包含一些敏感数据，如证书、私钥，需要确保其安全性，为了存储与分发此类信息，Kubernetes提供了一种称为Secret的单独资源对象。Secret与ConfigMap类似，均是键／值对的映射。Secret的使用方法也与ConfigMap相同，可以： （1）将Secret条目作为环境变了传递给容器 （2）将Secret条目暴露为卷中的文件 Kubernetes通过仅仅将Secret分发到需要访问的Secret的pod所在的机器节点来保
Kubernetes之secrets使用
Harry的博客
10-11 3782
​ Secret解决了密码、token、密钥等敏感数据的配置问题，而不需要把这些敏感数据暴露到镜像或者Pod Spec中。Secret可以以Volume或者环境变量的方式使用。 ​
kubernetes-config:Kubernetes的配置
05-15
Kubernetes配置 我的Kubernetes配置 启用RBAC创建 kubectl create clusterrolebinding cluster-admin-binding --clusterrole cluster-admin --user caleb@doxsey.net 创建秘密 kubectl create secret generic cloud...
kubernetes.core：Ansible的Kubernetes收藏
02-04
这个集合包含了各种Ansible模块、角色和插件，旨在简化Kubernetes环境的部署、配置和管理。 【描述】"kubernetes.core"集合是Ansible社区对 Kubernetes 集成的强大贡献，它允许管理员和开发者通过Ansible自动化工具...
zeebe-kubernetes：Zeebe Kubernetes配置
02-05
总结，Zeebe-Kubernetes配置涉及到Kubernetes的多种核心组件和概念，如Deployment、StatefulSet、Service、PV/PVC、ConfigMap和Secret。通过合理的配置，可以在Kubernetes上构建一个高可用、可扩展的Zeebe集群，实现...
kubernetes-training:kubernetes培训
04-28
1. **Pod**：Kubernetes 中最小的部署单元，一个 Pod 可以包含一个或多个紧密相关的容器，它们共享存储和网络资源。 2. **Service**：定义一组具有相同功能的 Pod 访问策略，提供稳定的服务发现和负载均衡。 3. **...
kubernetes-vault：使用保管库存储Kubernetes的机密！
02-03
Kubernetes Vault集成 Kubernetes-Vault项目允许吊舱使用Vault的自动接收Vault令牌。 强调 默认为安全。 Kubernetes-Vault控制器不允许使用根令牌对Vault进行身份验证。 Prometheus指标通过http或https终结点，并带...
Kubernetes中Secret使用详解
热门推荐
全栈工程师开发手册（原创）https://github.com/tencentmusic/cube-studio
10-26 1万+
Secret解决了密码、token、密钥等敏感数据的配置问题，而不需要把这些敏感数据暴露到镜像或者Pod Spec中。Secret可以以Volume或者环境变量的方式使用。 Secret类型 Secret有三种类型： Opaque：base64编码格式的Secret，用来存储密码、密钥等；但数据也通过base64 –decode解码得到原始数据，所有加密性很弱。 kubernetes.io/doc...
secret学习笔记
rendongxingzhe的博客
04-19 1201
Secret是用来保存敏感信息的，比如密码、令牌或者key，redis、mysql密码。 是一种包含少量敏感信息例如密码、令牌或密钥的对象。 这样的信息可能会被放在Pod规约中或者镜像中。 使用 Secret 意味着你不需要在应用程序代码中包含机密数据。 Secret 类似于ConfigMap但专门用于保存机密数据。 每个 Secret 的尺寸最多为 1MiB。施加这一限制是为了避免用户创建非常大的 Secret， 进而导致 API 服务器和 kubelet 内存耗尽。不过创建很多小的 ...
Kubernetes Secret
程序圆圆圆
05-07 572
base64 命令 Kubernetes 的 Secret 是使用 base64 进行编码的。以下是使用命令 base64 对字符串进行编码和解码的过程。 将字符串编码为 base64 格式。echo 的 -n 选项的用处是不在字符串后添加换行符 echo -n "hello" | base64 结果为 aGVsbG8= 将 base64 解码为字符串 echo -n "aGVsbG8...
容器编排技术 -- Kubernetes kubectl create secret generic 命令详解
YunWisdom
08-28 1723
容器编排技术 -- Kubernetes kubectl create secret generic 命令详解 1kubectl create secret generic 2语法 3示例 4Flags kubectl create secret generic 根据配置文件、目录或指定的literal-value创建secret。 secret可以保存为一个或多个key...
基于 fabric8 的 kubernetes-client 库 创建 Secret
kk380446的专栏
05-04 1134
参考原文地址:https://blog.csdn.net/sss294438204/article/details/88741392 项目中需要通过SDK 向集群内添加 Secret 资源，于是搜索了很多内容发现相关介绍甚少。仅找到一篇相关文章，按照作者实践步骤实际测试发现报错。最后通过翻找官方文档得到正确姿势，特此记录如下： 官方文档：https://githu...
kubernetes secret 管理
爱死亡机器人
09-15 4485
Secret 概览 Secret 是一种包含少量敏感信息例如密码、令牌或密钥的对象。 这样的信息可能会被放在 Pod 规约中或者镜像中。 用户可以创建 Secret，同时系统也创建了一些 Secret。 要使用 Secret，Pod 需要引用 Secret。 Pod 可以用三种方式之一来使用 Secret： 作为挂载到一个或多个容器上的 卷 中的文件。 作为容器的环境变量 由 kubelet 在为 Pod 拉取镜像时使用 使用 kubectl 创建 Secret # 创建本例中要使用的文件 echo -
K8S实战（十三）| Secret 对象
程立笔记
09-19 206
前言 Secret 可以用来保存密码、密钥等敏感信息，避免密钥直接放在 Pod 的YAML定义文件或容器镜像中导致的泄露问题。 密钥使用 Base64 编码形式存储于 Secret 对象中，Pod 挂载后自动解码为明文。 更新历史 20200702 - 初稿 - 左程立 原文地址 - https://blog.zuolinux.com/2020/07/02/about-secret.html 通过 kubectl 创建 Secret 创建用户名/密码文件 echo -n 'username' >
kubernetes学习
最新发布
01-22
标题："一小时精通Kubernetes的安全配置资源：Secret详解" 在这个关于Kubernetes学习的资源中，主要聚焦于Secret，这是Kubernetes中一个关键的安全配置组件。Secret用于处理敏感信息的存储和传输，确保数据的保密性...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

东城绝神

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值