如何从AWS Secrets Manager获取密钥并在Android BuildConfig中使用？

要实现构建时从AWS Secrets Manager拉取密钥并注入BuildConfig，核心是在Gradle构建阶段完成密钥获取——因为BuildConfig是编译时生成的静态类，无法在运行时动态修改。以下是具体实现步骤：

1. 添加AWS SDK依赖到构建脚本 #

在项目根目录的build.gradle（Groovy）或build.gradle.kts（Kotlin DSL）中，给构建脚本添加AWS Secrets Manager SDK依赖（仅用于构建过程，不会打包进APK）：

Groovy 语法 #

buildscript {
    dependencies {
        classpath 'com.amazonaws:aws-java-sdk-secretsmanager:1.12.500'
    }
}

Kotlin DSL 语法 #

buildscript {
    dependencies {
        classpath("com.amazonaws:aws-java-sdk-secretsmanager:1.12.500")
    }
}

2. 编写Gradle函数拉取密钥 #

在模块级（通常是app/目录）的构建脚本中，编写函数调用AWS API获取密钥：

Groovy 语法 #

import com.amazonaws.services.secretsmanager.AWSSecretsManagerClientBuilder
import com.amazonaws.services.secretsmanager.model.GetSecretValueRequest

// 拉取单个纯文本密钥
def getSecret(String secretName) {
    def client = AWSSecretsManagerClientBuilder.defaultClient()
    def request = new GetSecretValueRequest().withSecretId(secretName)
    def response = client.getSecretValue(request)
    return response.secretString
}

// 如果密钥是JSON格式（多键值对），解析后取指定字段
def getSecretField(String secretName, String fieldName) {
    def secretJson = new groovy.json.JsonSlurper().parseText(getSecret(secretName))
    return secretJson[fieldName]
}

Kotlin DSL 语法 #

import com.amazonaws.services.secretsmanager.AWSSecretsManagerClientBuilder
import com.amazonaws.services.secretsmanager.model.GetSecretValueRequest
import com.fasterxml.jackson.module.kotlin.jacksonObjectMapper
import com.fasterxml.jackson.module.kotlin.readValue

// 拉取单个纯文本密钥
fun getSecret(secretName: String): String {
    val client = AWSSecretsManagerClientBuilder.defaultClient()
    val request = GetSecretValueRequest().withSecretId(secretName)
    val response = client.getSecretValue(request)
    return response.secretString
}

// 如果密钥是JSON格式（多键值对），解析后取指定字段
fun getSecretField(secretName: String, fieldName: String): String {
    val secretMap = jacksonObjectMapper().readValue<Map<String, String>>(getSecret(secretName))
    return secretMap[fieldName] ?: ""
}

3. 注入密钥到BuildConfig #

在模块级构建脚本的android块中，针对不同构建类型（release/debug）将密钥注入BuildConfig：

Groovy 语法 #

android {
    // ...其他基础配置（compileSdk、defaultConfig等）

    buildTypes {
        release {
            // 注入单个纯文本密钥
            buildConfigField "String", "API_SECRET", "\"${getSecret("prod-api-secret")}\""
            // 注入JSON密钥中的指定字段
            buildConfigField "String", "PAYMENT_TOKEN", "\"${getSecretField("prod-secrets", "payment_token")}\""
        }
        debug {
            // 测试环境密钥
            buildConfigField "String", "API_SECRET", "\"${getSecret("dev-api-secret")}\""
        }
    }
}

Kotlin DSL 语法 #

android {
    // ...其他基础配置（compileSdk、defaultConfig等）

    buildTypes {
        release {
            // 注入单个纯文本密钥
            buildConfigField("String", "API_SECRET", "\"${getSecret("prod-api-secret")}\"")
            // 注入JSON密钥中的指定字段
            buildConfigField("String", "PAYMENT_TOKEN", "\"${getSecretField("prod-secrets", "payment_token")}\"")
        }
        debug {
            // 测试环境密钥
            buildConfigField("String", "API_SECRET", "\"${getSecret("dev-api-secret")}\"")
        }
    }
}

4. 配置AWS访问权限 #

构建机器（本地或CI/CD）需要具备访问AWS Secrets Manager的权限：

• 本地开发：确保本地存在AWS配置文件（~/.aws/credentials），或设置环境变量AWS_ACCESS_KEY_ID和AWS_SECRET_ACCESS_KEY。
• CI/CD环境：在流水线中配置上述环境变量，对应的IAM用户需附加SecretsManagerReadAccess权限策略。

关键注意事项 #

• 不要将AWS SDK添加到应用的dependencies块中，仅在构建脚本中使用，避免增大APK体积。
• 可通过Gradle缓存机制缓存密钥，减少重复请求AWS的次数（比如将密钥写入本地临时文件并加入.gitignore）。
• 切勿在代码中硬编码AWS凭证，否则会导致严重安全风险。

内容的提问来源于stack exchange，提问作者Siva