通过AWS CDK搭建OpenSSL Lambda Layer时Node.js 16 Lambda报错排查

1. 是否与Lambda的读写权限有关？库代码尝试在/opt/nodejs/创建文件夹，这在Lambda中是否不允许？ #

无关，你的报错核心是找不到openssl命令，不是读写权限问题。另外Lambda的/opt目录是只读挂载的，确实无法在其中创建文件夹或写入文件，但这不是你当前报错的原因（权限错误会提示EACCES而非ENOENT）。

2. 将路径改为/tmp/后仍无效果，原因是什么？ #

因为错误根源不是输出路径的问题，而是Lambda运行时环境中找不到系统级的openssl可执行文件。openssl-nodejs库本质是通过child_process.spawn调用系统的openssl命令，但Lambda的Node.js运行时默认的PATH里没有包含openssl的路径，或者环境中未预装对应命令，所以改输出路径到/tmp（Lambda唯一可写目录）解决不了找不到命令的问题。

3. 正确的实现方式是什么？ #

推荐两种方案：

• 方案一：使用Node.js内置模块或纯JS库（优先选择）
  Node.js内置的crypto模块已经支持生成RSA密钥对、创建证书等操作，完全不需要依赖外部openssl命令。示例代码：

  const crypto = require('crypto');
  const fs = require('fs');
  
  // 生成RSA密钥对
  const { privateKey, publicKey } = crypto.generateKeyPairSync('rsa', {
    modulusLength: 2048,
    publicKeyEncoding: { type: 'spki', format: 'pem' },
    privateKeyEncoding: { type: 'pkcs8', format: 'pem' }
  });
  
  // 写入到/tmp目录
  fs.writeFileSync('/tmp/dev.key', privateKey);
  

  也可以使用node-forge这类纯JS的密码学库，支持更复杂的证书操作，直接通过npm安装后打包到Lambda或Layer即可，无需依赖系统命令。

• 方案二：在Layer中打包openssl可执行文件
  如果一定要使用openssl命令，需要针对Lambda的运行时架构（x86_64或arm64）编译/下载对应的openssl可执行文件，打包到Layer中（比如放在layer/bin/openssl），部署后在Lambda代码中指定openssl的绝对路径调用，或者将Layer的bin目录加到环境变量PATH中。示例：

  const openssl = require('openssl-nodejs');
  // 指定Layer中openssl的绝对路径
  openssl.setBinary('/opt/bin/openssl');
  // 后续调用相关函数
  

内容的提问来源于stack exchange，提问作者monkey