如何在AWS SAM Python应用运行时覆盖环境变量占位符？

下面是几种不用把真实密钥写进template.yaml的可行方案，适合托管在GitHub的项目：

1. 使用SAM参数（Parameters）动态传入 #

在template.yaml里定义参数作为占位符，部署时通过命令行传入真实值：

# template.yaml
Parameters:
  FmPrepKey:
    Type: String
    NoEcho: true  # 确保敏感值不在AWS控制台/部署输出中暴露

Globals:
  Function:
    Timeout: 3
    Environment:
      Variables:
        FMPREPKEY: !Ref FmPrepKey

部署时执行命令：

sam deploy --parameter-overrides FmPrepKey=<你的真实密钥>

如果不想每次输入参数，可以把配置存到samconfig.toml，但记得把这个文件加入.gitignore，避免提交到GitHub。

2. 本地开发用环境变量覆盖 #

本地测试时，直接通过系统环境变量替换template里的占位符：

修改template.yaml：

# template.yaml
Globals:
  Function:
    Timeout: 3
    Environment:
      Variables:
        FMPREPKEY: ${env:FMPREPKEY, '<placeholder>'}

然后在本地终端先设置环境变量，再运行SAM命令：

# Linux/macOS
export FMPREPKEY=<你的真实密钥>
sam local invoke

# Windows PowerShell
$env:FMPREPKEY = "<你的真实密钥>"
sam local invoke

建议创建.env文件集中管理本地环境变量，把.env加入.gitignore。

3. 生产环境用AWS Secrets Manager/Parameter Store #

适合长期维护的生产环境，将敏感值存储在AWS的保密服务中，让Lambda自动拉取：

步骤1：把密钥存入Secrets Manager #

在AWS控制台创建一个Secrets Manager密钥，比如名称为FmPrepKey。

步骤2：修改template.yaml引用密钥 #

# template.yaml
Globals:
  Function:
    Timeout: 3
    Environment:
      Variables:
        FMPREPKEY: !Sub '{{resolve:secretsmanager:arn:aws:secretsmanager:${AWS::Region}:${AWS::AccountId}:secret:FmPrepKey-xxxx}}'
    # 给Lambda添加访问Secrets Manager的权限
    Policies:
      - Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Action:
              - secretsmanager:GetSecretValue
            Resource: !Sub 'arn:aws:secretsmanager:${AWS::Region}:${AWS::AccountId}:secret:FmPrepKey-xxxx'

注意替换ARN里的xxxx为Secrets Manager生成的随机后缀。

部署后，Lambda运行时会自动从Secrets Manager获取真实密钥，不需要手动传入。

关键注意事项 #

• 把samconfig.toml、.env这类包含敏感值的文件加入.gitignore，绝对不要提交到GitHub。
• 生产环境优先用Secrets Manager/Parameter Store，避免明文传递敏感值。

内容的提问来源于stack exchange，提问作者user1068378