如何在不封装构造的前提下从CDK栈获取安全组规则用于离线测试？

Great question! 我之前在开发CDK预部署架构校验工具时也遇到过完全一样的困扰——不想因为封装SecurityGroup或Connections破坏现有代码的兼容性，同时又要拿到所有实例间的安全组规则。下面分享几个我亲测有效的实现方式：

方法1：使用CDK Aspect遍历构造树 #

Aspect是CDK提供的用于批量检查或修改构造的工具，能直接遍历栈内所有资源，不管是你自己写的还是第三方库生成的。核心思路是找到所有CfnSecurityGroup资源（不管是L2构造底层生成的还是直接定义的L1资源），然后提取其入站/出站规则：

import { Aspect, IConstruct, Stack } from 'aws-cdk-lib';
import { CfnSecurityGroup, SecurityGroup } from 'aws-cdk-lib/aws-ec2';

class SecurityGroupInspector implements Aspect {
  visit(node: IConstruct): void {
    // 处理L2 SecurityGroup构造，获取其底层L1资源
    if (node instanceof SecurityGroup) {
      const cfnSg = node.node.defaultChild as CfnSecurityGroup;
      this.extractRules(cfnSg);
    }
    // 直接处理L1 CfnSecurityGroup资源
    if (node instanceof CfnSecurityGroup) {
      this.extractRules(node);
    }
  }

  private extractRules(cfnSg: CfnSecurityGroup) {
    // 获取入站规则
    const ingressRules = cfnSg.securityGroupIngress || [];
    // 获取出站规则
    const egressRules = cfnSg.securityGroupEgress || [];
    
    // 在这里添加你的校验逻辑，比如检查端口范围、源/目标安全组等
    console.log(`安全组 ${cfnSg.logicalId} 的入站规则:`, ingressRules);
    console.log(`安全组 ${cfnSg.logicalId} 的出站规则:`, egressRules);
  }
}

// 在你的CDK栈中应用这个Aspect
const app = new App();
const stack = new Stack(app, 'MyStack');
// ... 你的栈定义 ...
Aspect.of(stack).add(new SecurityGroupInspector());

方法2：解析生成的CloudFormation模板 #

这种方法更直接——跳过CDK构造层级，直接读取栈生成的CloudFormation JSON模板，从中提取所有安全组规则。不管安全组是通过什么方式创建的，最终都会在模板中以AWS::EC2::SecurityGroup类型存在：

import { App, Stack } from 'aws-cdk-lib';

const app = new App();
const stack = new Stack(app, 'MyStack');
// ... 你的栈定义 ...

// 生成CloudFormation模板
const template = stack.toCloudFormation();

// 遍历所有资源，筛选安全组
for (const [logicalId, resource] of Object.entries(template.Resources || {})) {
  if (resource.Type === 'AWS::EC2::SecurityGroup') {
    const properties = resource.Properties as any;
    const ingressRules = properties.SecurityGroupIngress || [];
    const egressRules = properties.SecurityGroupEgress || [];
    
    // 执行你的校验逻辑
    console.log(`安全组 ${logicalId} 的入站规则:`, ingressRules);
    console.log(`安全组 ${logicalId} 的出站规则:`, egressRules);
  }
}

方法3：递归遍历构造树（Inspector/Tree API） #

如果你想更灵活地控制遍历过程，可以直接递归遍历栈的构造节点，找到所有安全组相关实例：

import { IConstruct, Stack } from 'aws-cdk-lib';
import { CfnSecurityGroup, SecurityGroup } from 'aws-cdk-lib/aws-ec2';

function traverseConstructs(node: IConstruct) {
  // 处理当前节点
  if (node instanceof SecurityGroup) {
    const cfnSg = node.node.defaultChild as CfnSecurityGroup;
    // 这里可以添加规则提取和校验逻辑
    console.log(`L2安全组 ${node.securityGroupName} 的底层规则:`, cfnSg.securityGroupIngress);
  } else if (node instanceof CfnSecurityGroup) {
    console.log(`L1安全组 ${node.logicalId} 的规则:`, node.securityGroupIngress);
  }

  // 递归遍历子节点
  for (const child of node.node.children) {
    traverseConstructs(child);
  }
}

// 使用方式
const stack = new Stack(app, 'MyStack');
traverseConstructs(stack);

关键注意点 #

• 对于L2 SecurityGroup构造，一定要通过node.defaultChild获取底层的CfnSecurityGroup，因为直接调用addIngressRule等方法添加的规则只会存在于L1资源中。
• 如果遇到跨栈引用的安全组，模板中会用Fn::ImportValue来表示，你可以通过解析这些导入值关联到对应的栈资源。
• 这些方法都不需要修改现有代码的构造封装，完全是“只读”的遍历，不会引入兼容性问题。

内容的提问来源于stack exchange，提问作者krutten