如何从AWS Parameter Store获取TypeORM数据源连接参数？

这是一个JavaScript/TypeORM相关的问题，我尝试从AWS Parameter Store获取数据库连接参数，而非直接存在环境变量里，不确定是否可行，希望得到专业建议。

我的代码实现 #

数据源类代码 #

let options = {
  type: "mssql" as any,
  host: AwsParameterStore.getParameter("DATABASE_HOST").then(
    async (secretKey) => {
      return secretKey;
    }
  ),
  database: process.env.DATABASE_NAME,
  username: process.env.DATABASE_USERNAME,
  password: process.env.DATABASE_PASSWORD,
  options: { encrypt: false },
  synchronize: false
};

export const VcsDatabase = new DataSource((options = options));

AwsParameterStore类代码 #

@Injectable()
export class AwsParameterStore {
  constructor(private eventLogger: LoggingService) {}
  static async getParameter(parameterName: string): Promise<any> {
    let ssm = new SSM({ region: "eu-west-1" });
    let options = {
      Name: parameterName
    };
    let parameter = ssm.getParameter(options).promise();
    return parameter.then((response) => {
      let token: string = response.Parameter.Value;
      return token;
    });
  }
}

报错信息 #

connection error TypeError: The "config.server" property is required and must be of type string.

我的问题 #

• 是否可以从其他服务（如我的AWS Parameter Store）传递连接参数？如果可以，如何实现？
• 如果无法实现，将数据库凭证存储在GitLab CI/CD变量中并在运行流水线时调用是否安全？

我更关注凭证的安全性，据我所知，将其存储在SSM中并在运行时获取是更优的方式。

问题解答 #

1. 从AWS Parameter Store传递连接参数的实现方案 #

完全可以从SSM获取连接参数，核心问题是你直接把Promise赋值给了host字段，但TypeORM需要的是实际的字符串值。解决思路是先异步获取所有参数，再初始化DataSource，具体实现如下：

基础异步初始化方案

把DataSource的初始化改成异步函数，避免在模块顶级作用域同步创建实例：

// 定义异步初始化函数
export async function initializeVcsDatabase(): Promise<DataSource> {
  // 获取环境变量（若这些值也存在SSM中，同样用getParameter获取即可）
  const database = process.env.DATABASE_NAME;
  const username = process.env.DATABASE_USERNAME;
  const password = process.env.DATABASE_PASSWORD;

  // 异步获取SSM中的host参数
  const host = await AwsParameterStore.getParameter("DATABASE_HOST");

  // 组装完整配置
  const options = {
    type: "mssql" as any,
    host: host,
    database: database,
    username: username,
    password: password,
    options: { encrypt: false },
    synchronize: false
  };

  const dataSource = new DataSource(options);
  await dataSource.initialize(); // 异步完成数据库连接初始化
  return dataSource;
}

// 导出已初始化的Promise，避免重复初始化
export const VcsDatabase = initializeVcsDatabase();

简化SSM参数获取方法

你的getParameter方法可以简化为更清晰的await写法：

static async getParameter(parameterName: string): Promise<string> {
  const ssm = new SSM({ region: "eu-west-1" });
  const response = await ssm.getParameter({ Name: parameterName }).promise();
  return response.Parameter.Value;
}

NestJS场景下的优化方案

如果你的应用基于NestJS（从@Injectable装饰器可判断），推荐使用异步提供者来处理DataSource初始化：

@Module({
  providers: [
    {
      provide: DataSource,
      useFactory: async (awsParamStore: AwsParameterStore) => {
        const host = await awsParamStore.getParameter("DATABASE_HOST");
        const options = {
          type: "mssql" as any,
          host: host,
          database: process.env.DATABASE_NAME,
          username: process.env.DATABASE_USERNAME,
          password: process.env.DATABASE_PASSWORD,
          options: { encrypt: false },
          synchronize: false
        };
        const dataSource = new DataSource(options);
        await dataSource.initialize();
        return dataSource;
      },
      inject: [AwsParameterStore]
    }
  ],
  exports: [DataSource]
})
export class DatabaseModule {}

NestJS会自动处理异步初始化逻辑，其他服务可直接注入DataSource实例使用。

2. GitLab CI/CD变量存储凭证的安全性分析 #

将数据库凭证存在GitLab CI/CD变量中是安全的，但需要遵循以下配置规范：

• 把变量设置为受保护和掩码：受保护变量仅对受保护分支/标签的流水线可见，掩码变量会在日志中被自动隐藏，避免明文泄露。
• 禁止在流水线脚本中输出凭证：不要用echo等命令打印变量内容，防止日志泄露。
• 优先使用IAM角色：如果部署目标是AWS，建议用ECS任务角色、EC2实例角色等方式授权访问SSM，而非把AWS凭证存在GitLab变量中。

不过正如你所说，运行时从SSM获取凭证的安全性更高：

• 凭证不会在部署流程中暴露，也不会持久化在服务器环境变量中。
• 可通过IAM权限精细控制SSM参数的访问范围。
• 凭证可在SSM中定期轮换，无需修改应用代码或CI配置。

内容的提问来源于stack exchange，提问作者Farhani Walid