如何使用Go版AWS SDK准确追踪DynamoDB表最后访问时间

原代码存在的问题 #

• 仅监控读操作指标ConsumedReadCapacityUnits，完全忽略写操作（如ConsumedWriteCapacityUnits），导致写操作的访问记录无法被捕获，可能返回错误的最后访问时间。
• 查询时间窗口仅设置为1小时，若表在1小时以外有访问行为，会直接遗漏该历史记录，无法获取真实的最后访问时间。
• 未过滤数值为0的数据点：CloudWatch会返回时间段内的所有数据点（包括无访问时的0值），直接取最后一个时间戳会错误地将无访问的时间当作最后访问时间。
• 硬编码取第一个MetricDataResults元素，缺乏错误检查（比如当查询结果为空时会触发panic）。

修正后的代码 #

import (
	"fmt"
	"time"

	"github.com/aws/aws-sdk-go-v2/aws"
	"github.com/aws/aws-sdk-go-v2/service/cloudwatch"
	"github.com/aws/aws-sdk-go-v2/service/cloudwatch/types"
)

// getLastAccessTime retrieves the last access time of a DynamoDB table using CloudWatch metrics
func getLastAccessTime(cloudWatchClient *cloudwatch.Client, tableName string) (time.Time, error) {
	endTime := time.Now()
	// 调整查询窗口为30天，可根据业务需求修改
	startTime := endTime.Add(-30 * 24 * time.Hour)

	// 同时查询读、写操作的指标
	metricDataQueries := []types.MetricDataQuery{
		{
			Id: aws.String("read_ops"),
			MetricStat: &types.MetricStat{
				Metric: &types.Metric{
					Namespace:  aws.String("AWS/DynamoDB"),
					MetricName: aws.String("ConsumedReadCapacityUnits"),
					Dimensions: []types.Dimension{
						{
							Name:  aws.String("TableName"),
							Value: aws.String(tableName),
						},
					},
				},
				Period: aws.Int64(60),
				Stat:   aws.String("Sum"),
			},
			ReturnData: aws.Bool(true),
		},
		{
			Id: aws.String("write_ops"),
			MetricStat: &types.MetricStat{
				Metric: &types.Metric{
					Namespace:  aws.String("AWS/DynamoDB"),
					MetricName: aws.String("ConsumedWriteCapacityUnits"),
					Dimensions: []types.Dimension{
						{
							Name:  aws.String("TableName"),
							Value: aws.String(tableName),
						},
					},
				},
				Period: aws.Int64(60),
				Stat:   aws.String("Sum"),
			},
			ReturnData: aws.Bool(true),
		},
	}

	input := &cloudwatch.GetMetricDataInput{
		EndTime:           aws.Time(endTime),
		StartTime:         aws.Time(startTime),
		MetricDataQueries: metricDataQueries,
	}

	result, err := cloudWatchClient.GetMetricData(input)
	if err != nil {
		return time.Time{}, fmt.Errorf("failed to get metric data: %w", err)
	}

	var latestAccessTime time.Time

	// 遍历所有指标结果，过滤出有访问（数值>0）的时间戳
	for _, metricResult := range result.MetricDataResults {
		if len(metricResult.Timestamps) == 0 || len(metricResult.Values) == 0 {
			continue
		}

		// 从后往前遍历，找到第一个非零值的时间戳（提升效率）
		for i := len(metricResult.Timestamps) - 1; i >= 0; i-- {
			timestamp := *metricResult.Timestamps[i]
			value := *metricResult.Values[i]

			if value > 0 && timestamp.After(latestAccessTime) {
				latestAccessTime = timestamp
				break
			}
		}
	}

	if latestAccessTime.IsZero() {
		return time.Time{}, fmt.Errorf("no access records found for table %s in the past 30 days", tableName)
	}

	return latestAccessTime, nil
}

关键修正点说明 #

• 同时监控读、写两类操作指标，确保捕获所有类型的访问行为。
• 扩大查询时间窗口到30天（可根据业务需求调整），避免遗漏历史访问记录。
• 过滤数值大于0的数据点，仅将实际有访问的时间算作最后访问时间。
• 从后往前遍历数据点，找到第一个非零值的时间戳，提升查询效率。
• 增加空结果检查，避免空指针panic。

AWS SDK for Go相关问题解答 #

1. 是否有直接获取DynamoDB表最后访问时间的方法？
   没有。AWS DynamoDB原生API并未提供直接查询表最后访问时间的接口，必须通过间接方式实现。

2. 推荐的实现方案

• CloudWatch指标方案：这是最常用的方案，如上述修正代码所示，通过监控ConsumedReadCapacityUnits和ConsumedWriteCapacityUnits指标，过滤非零数据点获取最新访问时间。优点是无需修改业务代码，成本低；缺点是存在约1-5分钟的延迟（CloudWatch指标的推送延迟）。
• 应用层记录方案：在应用每次调用DynamoDB操作时，主动更新一个专门的元数据表（如TableAccessLog），记录表名和访问时间。优点是延迟低，时间精确；缺点是需要修改业务代码，增加额外的DB操作开销。
• CloudTrail方案：通过CloudTrail日志记录DynamoDB的API调用事件，然后查询日志中的最新事件时间。优点是能捕获所有API操作；缺点是日志延迟更高（通常15分钟以上），且查询成本较高，适合审计场景而非实时追踪。

内容的提问来源于stack exchange，提问作者kairoon bodanapu