带单个前导斜杠的SSM StringParameter为何斜杠被忽略？

问题现象 #

用自定义CDK构造创建两个SSM参数：

const secureParamA = new SecureStringSsmParam(
  this, 'testParamA', '/testSecureStringA');
const secureParamB = new SecureStringSsmParam(
  this, 'testParamB', '/testSecureString/nameB');

结果控制台里，第一个参数名变成了testSecureStringA（丢失前导斜杠），第二个参数名仍是/testSecureString/nameB（正常保留），功能正常但命名不一致。

问题根源 #

问题出在构造类的ARN格式化逻辑和SSM自身的参数命名规则冲突：

1. ARN生成时手动移除前导斜杠 #

看构造代码里的这段逻辑：

this.arn = Arn.format({
  service: 'ssm',
  resource: 'parameter',
  resourceName: this.parameterName.substring(1), // 手动移除了第一个字符（前导斜杠）
  arnFormat: ArnFormat.SLASH_RESOURCE_NAME,
}, Stack.of(this));

你注释里提到“前导斜杠会导致策略问题”所以做了截取，但这触发了SSM的参数名规范化行为：

• 对于单段参数名（如/testSecureStringA）：SSM的参数ARN规则是，带前导斜杠的单段名称对应的ARN会自动去掉前导斜杠，即arn:aws:ssm:...:parameter/testSecureStringA。你的策略用的就是这个ARN，所以Lambda执行putParameter时权限通过，但SSM会自动将参数名规范化为不带前导斜杠的版本。
• 对于多级路径参数（如/testSecureString/nameB）：截取前导斜杠后得到testSecureString/nameB，生成的ARN和SSM自动生成的ARN完全一致，此时SSM会保留参数名的前导斜杠——因为这是路径层级的一部分，不会被规范化。

2. AwsCustomResource的权限匹配逻辑 #

Lambda调用putParameter时必须匹配策略中的ARN资源：

• 单段参数：策略ARN是...:parameter/testSecureStringA，用/testSecureStringA调用接口时，SSM自动将参数名对应的ARN对齐到策略ARN，权限通过但参数名被规范化。
• 多级参数：策略ARN和SSM自动生成的ARN完全匹配，所以参数名保留原始的带斜杠路径。

解决办法 #

方案1：修正ARN生成逻辑，保留前导斜杠 #

去掉substring(1)，直接用原始参数名生成ARN，ArnFormat.SLASH_RESOURCE_NAME会自动处理格式：

this.arn = Arn.format({
  service: 'ssm',
  resource: 'parameter',
  resourceName: this.parameterName, // 不再移除前导斜杠
  arnFormat: ArnFormat.SLASH_RESOURCE_NAME,
}, Stack.of(this));

这样生成的ARN完全符合SSM规则，权限匹配正常，创建的参数名会严格保留你传入的原始格式，无论单段还是多级路径。

方案2：统一使用多级路径参数 #

如果不想修改ARN逻辑，可将所有参数改为多级路径形式，比如把/testSecureStringA改成/test/testSecureStringA，这样即使截取前导斜杠，SSM也会保留完整路径的前导斜杠，避免命名不一致。

临时方案优化 #

你现在记录特殊行为的方式可以保留，但建议在构造类的注释里明确说明：单段前导斜杠参数会被SSM自动规范化为不带斜杠的名称，多级路径参数不受影响，同时推荐使用多级路径参数保持一致性。

内容的提问来源于stack exchange，提问作者Shorn