AWS Lambda Layer部署Node.js Postgres客户端遇自签名证书链错误

云原生阿岚

2026-7-6

解决Lambda Layer中Postgres RDS自签名证书链错误

问题根源

将Postgres客户端代码迁移到Lambda Layer后，出现self-signed certificate in certificate chain错误，原因是Layer环境中缺少AWS RDS的根证书，或者pg客户端无法自动找到系统证书路径，导致SSL证书验证失败。而直接在Lambda函数中运行时，函数环境默认包含了必要的证书配置。

解决方案

1. 配置RDS根证书（生产环境推荐）

AWS提供了RDS专用的根证书，将其打包到Layer并在代码中指定路径，即可完成证书验证：

下载对应区域的RDS根证书文件（如rds-ca-2019-root.pem）

将证书放入Layer的certs目录，Layer最终结构为：

layer-content/
├── certs/
│   └── rds-ca-2019-root.pem
└── nodejs/
    └── node_modules/
        └── pg/

修改pg客户端配置，指定证书路径：

const pg = require('pg');
const fs = require('fs');
const path = require('path');

// Lambda Layer的文件会挂载到/opt目录下
const rdsCaPath = path.join('/opt', 'certs', 'rds-ca-2019-root.pem');

let client = new pg.Client({
    host: db_info.host,
    user: db_info.username,
    database: db_info.dbName,
    password: db_info.password,
    port: db_info.port,
    ssl: {
        rejectUnauthorized: true,
        ca: fs.readFileSync(rdsCaPath).toString()
    }
});
client.connect();

2. 临时禁用证书验证（仅测试环境）

如果是测试环境，可临时关闭证书验证（生产环境禁止使用）：

const pg = require('pg');

let client = new pg.Client({
    host: db_info.host,
    user: db_info.username,
    database: db_info.dbName,
    password: db_info.password,
    port: db_info.port,
    ssl: {
        rejectUnauthorized: false
    }
});
client.connect();