{{- if .Values.secret.enabled }}
{{- /*
  ⚠️ 生产环境警告：不要在 values.yaml 中硬编码真实密钥！
  推荐方案：使用 External Secrets Operator 对接 Vault / KMS / 云 KMS
  本模板仅作骨架；空字符串字段不会被渲染（避免覆盖已存在的 Secret）。
*/ -}}
apiVersion: v1
kind: Secret
metadata:
  name: {{ .Values.secret.name }}
  namespace: edu-system
  labels:
    {{- include "edu-platform.labels" . | nindent 4 }}
  annotations:
    "helm.sh/hook": pre-install
    "helm.sh/hook-delete-policy": before-hook-creation
type: Opaque
data:
{{- range $k, $v := .Values.secret.data }}
{{- if $v }}
  {{ $k }}: {{ $v }}
{{- else }}
  {{ $k }}: ""  # 占位：部署时通过 --set 或 ExternalSecrets 注入
{{- end }}
{{- end }}
{{- end }}