Laravel 10调用AWS Lambda报CredentialsInterface错误，其他AWS服务正常

问题回顾 #

Laravel 10应用重度依赖AWS服务（SES、SNS、SQS、Lambda、Aurora、S3），其他AWS功能正常，但调用Lambda时随机出现两种错误：

• 凭证类型错误：Credentials must be an instance of 'Aws\Credentials\CredentialsInterface, an associative array that contains "key", "secret", and an optional "token" key-value pairs, a credentials provider function, or false.
• 安全令牌无效
  仅单个Lambda调用在任务和直接执行中均正常，AWS控制台执行Lambda无问题，已尝试硬编码凭证、官方凭证提供者等操作。

排查与解决步骤 #

1. 强制刷新Laravel配置与常驻进程

   • Laravel队列Worker这类常驻进程不会自动加载新的.env或配置，部署后必须执行：

     php artisan config:clear
     php artisan cache:clear
     php artisan queue:restart
     

   • 避免在业务代码中直接用env()函数，建议在config/aws.php中配置凭证：

     // config/aws.php
     return [
         'credentials' => [
             'key' => env('AWS_ACCESS_KEY_ID'),
             'secret' => env('AWS_SECRET_ACCESS_KEY'),
         ],
         'region' => env('AWS_DEFAULT_REGION', 'eu-west-1'),
         'version' => 'latest',
     ];
     

   • 调用Lambda时直接用配置文件的值：

     $client = \Aws\Lambda\LambdaClient::factory(config('aws'));
     

2. 显式创建凭证对象，规避类型冲突
   直接实例化Credentials对象，确保传入的凭证类型完全符合AWS SDK要求，避免数组形式可能的隐式转换问题：

   use Aws\Credentials\Credentials;
   use Aws\Lambda\LambdaClient;
   
   $credentials = new Credentials(config('aws.credentials.key'), config('aws.credentials.secret'));
   $client = LambdaClient::factory([
       'version' => 'latest',
       'credentials' => $credentials,
       'region' => config('aws.region')
   ]);
   

3. 校验任务执行的环境上下文

   • 确认Laravel任务（队列/调度）运行的用户与CLI执行用户一致，避免环境变量加载差异：
     在任务中添加日志输出，验证凭证是否正确加载：

     \Illuminate\Support\Facades\Log::info('Lambda Task Credentials', [
         'key' => config('aws.credentials.key'),
         'secret_exists' => !empty(config('aws.credentials.secret'))
     ]);
     

   • 调度任务时显式指定环境，避免默认环境不一致：

     // app/Console/Kernel.php
     $schedule->command('your:task')->daily()->environment('production');
     

4. 排查AWS凭证链冲突

   • 如果应用部署在AWS EC2/EKS等服务上，实例角色的凭证可能与你指定的凭证冲突，可在Lambda客户端配置中禁用默认凭证链：

     $client = LambdaClient::factory([
         'version' => 'latest',
         'credentials' => $credentials,
         'region' => config('aws.region'),
         'credentials' => false, // 仅使用指定凭证，禁用默认凭证链
     ]);
     

   • 检查服务器上是否存在~/.aws/credentials文件，该文件的凭证可能覆盖你指定的配置。

5. 验证AWS SDK版本兼容性
   查看composer.lock中aws/aws-sdk-php的版本，确保与Laravel 10兼容（推荐3.200.x及以上稳定版），若版本异常，执行：

   composer require aws/aws-sdk-php:^3.200
   

内容的提问来源于stack exchange，提问作者Mr Fett