如何在保障安全的前提下加速Bash脚本中AWS Secrets Manager调用？

下面提供几种安全且高效的缓存实现方案，平衡速度与密钥安全性：

1. 本地文件缓存（带过期时间） #

通过本地文件存储密钥并设置过期时间，避免每次都调用Python脚本。核心是严格限制缓存文件的访问权限，确保只有当前用户可读。

# 封装密钥获取函数，包含缓存逻辑
get_secret() {
    local secret_name="$1"
    # 缓存目录放在用户家目录，避免公共访问
    local cache_dir="$HOME/.aws_secret_cache"
    # 把密钥名称里的/替换为_，避免目录结构冲突
    local cache_file="$cache_dir/$(echo "$secret_name" | tr '/' '_')"
    local cache_ttl=3600  # 缓存有效期1小时，可根据业务需求调整

    # 创建缓存目录并设置严格权限
    mkdir -p "$cache_dir"
    chmod 700 "$cache_dir"

    # 检查缓存是否有效：文件存在且未过期
    if [ -f "$cache_file" ]; then
        local file_age=$(( $(date +%s) - $(stat -c %Y "$cache_file") ))
        if [ "$file_age" -lt "$cache_ttl" ]; then
            cat "$cache_file"
            return
        fi
    fi

    # 缓存无效时，调用脚本获取密钥
    local secret_value=$(/path/to/get-key.py "$secret_name")
    # 写入缓存并设置仅当前用户可读权限
    echo "$secret_value" > "$cache_file"
    chmod 600 "$cache_file"
    echo "$secret_value"
}

# 使用示例
pass=$(get_secret dev/pass)

2. Shell会话级缓存 #

如果脚本嵌套调用是在同一个Shell会话中（比如多次source env.sh），可以直接检查环境变量是否已存在，避免重复调用：

# 仅当pass环境变量未设置时，才调用脚本获取
if [ -z "$pass" ]; then
    pass=$(get-key.py dev/pass)
    # 如果需要让子进程也能访问这个变量，加上export
    export pass
fi

这种方案无需持久化存储，会话结束后变量自动消失，安全性更高，但只适合同一会话内的重复调用场景。

3. 混合缓存（会话+本地文件） #

结合前两种方案的优势：先检查会话内的环境变量，不存在再检查本地缓存文件，都无效才调用API，最大化减少脚本调用次数：

get_secret() {
    local secret_name="$1"
    # 把密钥名转为大写下划线格式，作为环境变量名（比如dev/pass → DEV_PASS）
    local env_var_name=$(echo "$secret_name" | tr '/' '_' | tr '[:lower:]' '[:upper:]')
    local cache_dir="$HOME/.aws_secret_cache"
    local cache_file="$cache_dir/$(echo "$secret_name" | tr '/' '_')"
    local cache_ttl=3600

    # 第一步：检查会话环境变量是否存在
    if [ -n "${!env_var_name}" ]; then
        echo "${!env_var_name}"
        return
    fi

    # 第二步：检查本地缓存文件
    mkdir -p "$cache_dir"
    chmod 700 "$cache_dir"
    if [ -f "$cache_file" ]; then
        local file_age=$(( $(date +%s) - $(stat -c %Y "$cache_file") ))
        if [ "$file_age" -lt "$cache_ttl" ]; then
            local secret_value=$(cat "$cache_file")
            # 更新会话环境变量，后续直接使用
            export "$env_var_name"="$secret_value"
            echo "$secret_value"
            return
        fi
    fi

    # 第三步：获取新密钥并更新缓存和环境变量
    local secret_value=$(/path/to/get-key.py "$secret_name")
    export "$env_var_name"="$secret_value"
    echo "$secret_value" > "$cache_file"
    chmod 600 "$cache_file"
    echo "$secret_value"
}

# 使用示例
pass=$(get_secret dev/pass)

安全性注意事项 #

• 所有本地缓存文件必须设置600权限，缓存目录设置700权限，避免其他用户读取密钥。
• 缓存过期时间（TTL）不要设置过长，建议根据密钥更新频率和业务风险调整（比如15分钟到1小时）。
• 不要在多用户共享的目录下存储缓存文件，务必放在当前用户的家目录内。

内容的提问来源于stack exchange，提问作者Nir