使用node-convict时如何从AWS Secrets Manager加载配置值？

针对node-convict的简便实现 #

不需要编写大量代码，两种轻量方式即可实现需求：

• 自定义Format拉取密钥：利用convict的自定义format能力，定义一个专门用于从AWS Secrets Manager获取值的格式。示例代码：

  const { SecretsManagerClient, GetSecretValueCommand } = require('@aws-sdk/client-secrets-manager');
  const client = new SecretsManagerClient({ region: '你的区域' });
  
  convict.addFormat({
    name: 'aws-secret',
    validate: () => {}, // 可按需添加验证逻辑
    async coerce(value) {
      // value传入密钥名称，调用AWS SDK获取实际值
      const command = new GetSecretValueCommand({ SecretId: value });
      const response = await client.send(command);
      return response.SecretString;
    }
  });
  

  之后在schema中指定该format：

  const config = convict({
    apiToken: {
      format: 'aws-secret',
      default: 'dev-token', // 开发环境默认值
      env: 'API_TOKEN'
    }
  });
  

  注意配置加载需使用异步方式，因为coerce方法是异步的。

• 提前加载密钥后合并：先让convict加载基础配置文件，再根据环境判断是否从AWS拉取密钥，最后用set方法注入：

  const config = convict(require('./config-schema'));
  config.loadFile(`./config/${config.get('env')}.json`);
  
  if (config.get('env') !== 'development') {
    // 调用AWS SDK获取密钥
    const secret = await getSecretFromAWS();
    config.set('apiToken', secret.apiToken);
  }
  
  config.validate({ allowed: 'strict' });
  

  这种方式逻辑直白，无需修改schema的format，适合快速落地。

替代配置库推荐 #

如果觉得node-convict的方案不够顺手，这些支持环境分层且易集成AWS Secrets Manager的库可以考虑：

• config：老牌分层配置库，支持通过自定义loaders扩展配置源，社区有成熟的AWS Secrets集成示例，配置文件按环境目录组织，上手成本低。
• zod + AWS SDK：用zod做配置schema的类型验证，手动处理环境分层（比如加载对应.env文件）和密钥拉取，灵活性极强，适合需要强类型保障的项目。
• dotenv-flow + aws-sdk：dotenv-flow自动加载对应环境的.env文件，再手动拉取AWS Secrets合并，适合轻量级项目，无需复杂的配置schema。

曾有PR尝试为node-convict添加动态获取密钥的功能，但未纳入v6版本，上述方案是当前可用的简便实现路径。

内容的提问来源于stack exchange，提问作者Jun-Dai Bates-Kobashigawa