如何在AWS SDK for Swift中实现无硬编码密钥的身份认证？

方案1：密钥链存储+环境变量（开发/测试场景） #

• 开发阶段在Xcode Scheme的环境变量中配置AWS_ACCESS_KEY_ID和AWS_SECRET_ACCESS_KEY，SDK会自动读取这两个变量，无需写死在代码里。
• 脱离Xcode运行的设备，将密钥存储在系统密钥链中，应用启动时读取密钥再初始化客户端。密钥链是系统级安全存储，安全性远高于硬编码。

示例代码：

// 假设已实现密钥链读写的工具类
guard let accessKey = KeychainUtils.get(key: "AWS_ACCESS_KEY"),
      let secretKey = KeychainUtils.get(key: "AWS_SECRET_KEY") else {
    fatalError("无法从密钥链加载AWS凭证")
}

let credential = AWSCredentialIdentity(accessKey: accessKey, secret: secretKey)
let resolver = try StaticAWSCredentialIdentityResolver(credential)
let config = try await LambdaClient.LambdaClientConfiguration(
    awsCredentialIdentityResolver: resolver,
    region: "us-east-1"
)
let lambdaClient = LambdaClient(config: config)

方案2：后端中转临时凭证（生产客户端场景） #

鉴于当前SDK暂不支持Cognito，可通过后端服务中转获取临时AWS凭证：

1. 用户先通过常规方式完成身份验证（如Apple/Google登录、账号密码登录）
2. 后端验证用户身份后，调用AWS STS生成带权限限制的临时凭证
3. 客户端拿到临时凭证后，用其初始化SDK

临时凭证有过期时间，不仅安全性更高，还能通过IAM策略严格限制可访问的AWS资源范围。

示例代码（使用临时凭证初始化客户端）：

// 假设从后端接口获取到临时凭证
let tempCredential = AWSCredentialIdentity(
    accessKey: tempAccessKey,
    secret: tempSecretKey,
    sessionToken: tempSessionToken
)
let resolver = try StaticAWSCredentialIdentityResolver(tempCredential)
let config = try await LambdaClient.LambdaClientConfiguration(
    awsCredentialIdentityResolver: resolver,
    region: "us-east-1"
)
let lambdaClient = LambdaClient(config: config)

方案3：AWS托管环境绑定IAM角色（服务端场景） #

如果你的Swift应用部署在EC2、EKS、Lambda等AWS托管服务上，直接为资源绑定IAM角色即可。SDK会自动通过实例元数据服务（IMDS）或容器凭证服务获取凭证，无需手动配置任何密钥。

注意事项 #

• 开发者预览版功能仍在迭代，后续官方可能会新增Cognito认证支持，可留意官方更新动态。
• 绝对不要将长期AWS密钥硬编码进代码或打包进应用包，一旦泄露会导致AWS资源被盗用的风险。

内容的提问来源于stack exchange，提问作者Jeff Zacharias