Lambda生成CloudFront签名URL遇模块缺失及解码错误求助

一、处理“Cannot find module 'aws-cloudfront-sign'”错误 #

这个错误的核心是Lambda运行环境未包含第三方依赖包，解决步骤：

• 本地项目目录下执行npm init -y初始化npm项目（未初始化过的话）
• 安装依赖：npm install aws-cloudfront-sign --save
• 将Lambda代码与node_modules文件夹一起打包为ZIP文件，上传至Lambda控制台；或用SAM、Serverless Framework等工具部署，自动完成依赖打包流程。

二、解决“error:1E08010C:DECODER routines::unsupported”错误 #

这个错误是私钥格式错误导致的，你之前对密钥的处理方式有误，正确操作如下：

1. KeypairId的正确取值：不要从rsa.pem中提取，而是使用AWS账户创建CloudFront密钥对时返回的密钥对ID（格式类似K2XXXXXXXXXXXX的字符串），rsa.pem是公钥，无需在代码中使用。
2. 私钥必须保留完整PEM格式：直接使用pk.pem的全部内容，包括首尾的-----BEGIN RSA PRIVATE KEY-----和-----END RSA PRIVATE KEY-----标识，不能去除。如果私钥是多行文本，要保留换行符，可用模板字符串包裹以保留格式。

正确代码示例（基于@aws-sdk/cloudfront-signer） #

const { getSignedUrl } = require("@aws-sdk/cloudfront-signer");

// 替换为你的CloudFront资源地址
const cloudfrontResourceUrl = "https://your-cf-domain.com/assets/file.jpg";
// 替换为你的CloudFront密钥对ID
const keyPairId = "K2XXXXXXXXXXXX";
// 直接使用完整的私钥内容，保留首尾标识和换行
const privateKey = `-----BEGIN RSA PRIVATE KEY-----
MIIEpAIBAAKCAQEAz...（这里是私钥的完整多行内容）
-----END RSA PRIVATE KEY-----`;

// 生成1小时后过期的签名URL
const signedUrl = getSignedUrl({
  url: cloudfrontResourceUrl,
  keyPairId: keyPairId,
  privateKey: privateKey,
  expires: Date.now() + 3600000
});

console.log("生成的签名URL：", signedUrl);

额外注意点 #

• 如果私钥存储在AWS Secrets Manager或Parameter Store中，读取时要确保保留完整格式（包括首尾标识和换行），不要做截断或替换操作。
• 本地测试时可临时硬编码私钥，但切勿将其提交到代码仓库，避免密钥泄露。

内容的提问来源于stack exchange，提问作者ThinQ