如何将.env中的AWS密钥导入samconfig.toml且避免明文写入？

问题原因 #

SAM CLI本身不会自动读取.env文件中的环境变量，所以你直接在samconfig.toml的parameter_overrides里用${AccessKeyId}这种变量引用写法，SAM无法解析这些变量值，导致配置失效。

解决方案 #

方案1：先加载.env变量再执行SAM命令 #

先把.env里的变量导入当前shell环境，再运行SAM部署命令，这样shell会自动替换samconfig.toml中的变量引用：

• 若使用bash/zsh，执行：

  source .env && sam deploy --config-env dev
  

• 若使用Windows PowerShell，执行：

  Get-Content .env | ForEach-Object { if ($_ -match '^(\w+)=(\S+)$') { [Environment]::SetEnvironmentVariable($matches[1], $matches[2]) } }
  sam deploy --config-env dev
  

方案2：使用AWS凭证标准管理方式（更推荐） #

你完全不需要把密钥写到parameter_overrides里，SAM CLI会自动读取以下几种凭证来源（优先级从高到低）：

1. 系统环境变量AWS_ACCESS_KEY_ID和AWS_SECRET_ACCESS_KEY
2. ~/.aws/credentials文件中配置的profile（对应你samconfig.toml里的profile = "dev"）
3. EC2实例角色（仅在AWS环境内运行时生效）

如果用profile方式，只需在~/.aws/credentials中配置：

[dev]
aws_access_key_id = xxxxxxxxxxx
aws_secret_access_key = xxxxxxxxxxx

配置完成后，SAM部署时会自动调用该profile的凭证，无需在samconfig.toml中传递密钥参数，既安全又符合AWS最佳实践。

方案3：命令行直接传递环境变量参数 #

如果需要动态传递参数，可以直接在命令行用环境变量替换，无需修改samconfig.toml：

sam deploy --config-env dev --parameter-overrides "Env=dev AccessKeyId=$AccessKeyId SecretAccessKey=$SecretAccessKey"

执行前需确保AccessKeyId和SecretAccessKey已导入当前shell环境（可通过source .env完成）。

内容的提问来源于stack exchange，提问作者kyoshida