KMS解密结果无法赋值给抽象类静态变量的解决方案求助

核心问题拆解 #

1. 静态初始化不支持异步：TypeScript禁止在类静态成员的直接赋值中使用await，静态初始化逻辑必须同步执行。
2. 解密函数静默失败：原decryptEnvironmentVariable的catch块仅打印日志但未抛出异常，导致解密失败时返回Promise<undefined>，最终dbPassword值为undefined。
3. 异步函数类型错误：async函数的返回类型应为Promise<string>，原代码声明为string不符合TypeScript规范。

代码修改方案（不改动调用处） #

1. 修复加密工具类 #

修正返回类型并完善错误处理，确保异常能被上层捕获，避免静默返回undefined：

import * as AWS from 'aws-sdk';
const kmsClient = new AWS.KMS({region: 'us-east-1'});

class EncryptionUtility
{
    // 修正返回类型为Promise<string>
    static async decryptEnvironmentVariable(encryptedValue: string): Promise<string> {
        if (!encryptedValue) {
            throw new Error('Encrypted dbPassword is missing from environment variables');
        }
        
        try {
            console.log("decryptEnvironmentVariable input => ", encryptedValue);
            
            const decryptResult = await kmsClient.decrypt({
                CiphertextBlob: Buffer.from(encryptedValue, 'base64'),
                EncryptionContext: { LambdaFunctionName: 'ioh_reference_data_service' },
            }).promise();
           
            if (Buffer.isBuffer(decryptResult.Plaintext)) {
                return decryptResult.Plaintext.toString();
            } 
            throw new Error('Decrypted result is not a valid buffer');
            
        } catch(e) {
            console.error("Decryption failed => ", e);
            throw e; // 重新抛出异常，避免返回undefined
        }
    }
}

2. 改造Config类，提前初始化+缓存 #

通过私有静态变量缓存解密结果，新增init方法用于异步初始化，同时保留原静态属性的访问方式，确保调用处无需修改：

export abstract class Config {
    private static _dbPassword: string | undefined;

    // 保留原静态属性的访问方式，确保调用处无需改动
    static get dbPassword(): string {
        if (!this._dbPassword) {
            throw new Error('Config not initialized. Call Config.init() first.');
        }
        return this._dbPassword;
    }

    // 异步初始化方法，在Lambda入口调用一次即可
    static async init(): Promise<void> {
        if (!this._dbPassword) {
            this._dbPassword = await EncryptionUtility.decryptEnvironmentVariable(process.env.dbPassword!);
        }
    }
}

3. Lambda入口初始化 #

在Lambda的handler函数最开始调用Config.init()，确保解密完成后再执行业务逻辑：

// Lambda handler示例
export const handler = async (event: any, context: any) => {
    // 先完成Config初始化，确保dbPassword已解密
    await Config.init();
    
    // 后续业务逻辑直接使用Config.dbPassword，调用方式和之前完全一致
    console.log('Decrypted dbPassword:', Config.dbPassword);
    
    // ...其他业务代码
};

方案优势 #

• 调用处无需修改：所有原有Config.dbPassword的调用代码保持不变，仅需在Lambda入口新增一次初始化调用。
• 避免重复解密：通过私有静态变量_dbPassword缓存结果，冷启动时仅解密一次，后续复用缓存值。
• 异常可控：初始化阶段集中处理解密异常，避免业务代码中出现未预期的undefined。

内容的提问来源于stack exchange，提问作者Dilip Solanki