如何使用DynamoDbStreamsClient读取客户端加密的DynamoDB数据？

你遇到的问题是DynamoDB Java客户端加密库3.x提供的DynamoDbEncryptionInterceptor仅支持DynamoDbClient，无法直接配置到DynamoDbStreamsClient上解密流数据。目前没有官方提供的简便拦截器方案，但可以通过手动处理流记录的方式完成解密，具体步骤如下：

手动解密流记录 #

1. 复用加密时的配置
   确保你持有加密数据时使用的DynamoDbEncryptionConfiguration（包含密钥提供者、加密算法、加密上下文规则等核心配置），解密时必须和加密配置完全一致。

2. 提取流中的加密数据
   从DynamoDbStreamsClient拉取到Record后，提取其中的NewImage或OldImage字段（对应DynamoDB的Map<String, AttributeValue>结构，这是加密后的原始数据）。

3. 使用DynamoDbEncryptor解密
   初始化DynamoDbEncryptor实例，调用其解密方法处理加密的属性映射，示例代码如下：

   // 初始化加密器（复用加密时的配置）
   DynamoDbEncryptor encryptor = DynamoDbEncryptor.getInstance(encryptionConfig);
   
   // 从流记录中获取加密的镜像数据
   Record streamRecord = ...; // 从Streams获取的记录
   Map<String, AttributeValue> encryptedImage = streamRecord.dynamodb().newImage();
   
   // 构建加密上下文（如果加密时指定了上下文，必须完全匹配）
   Map<String, String> encryptionContext = new HashMap<>();
   encryptionContext.put("your-context-key", "your-context-value");
   
   // 执行解密
   Map<String, AttributeValue> decryptedImage = encryptor.decryptRecord(encryptedImage, encryptionContext);
   

关键注意事项 #

• 流的StreamViewType必须配置为NEW_IMAGE、OLD_IMAGE或NEW_AND_OLD_IMAGES，确保能获取到完整的加密属性集合；如果设置为KEYS_ONLY或仅包含部分属性，可能无法完成解密。
• 解密用的密钥必须和加密时使用的密钥一致，密钥管理（比如KMS密钥）需要确保流处理服务有访问权限。

内容的提问来源于stack exchange，提问作者Seagull