SpringBoot中解决DefaultAWSCredentialsProviderChain凭证轮换后应用失效问题

你遇到的核心问题是：当前生产环境下的凭证获取逻辑没有利用AWS SDK内置的自动凭证刷新机制，虽然用了DefaultAWSCredentialsProviderChain，但可能因为硬编码配置或SDK版本问题，导致凭证过期后无法自动更新。下面是具体的解决方案和代码修改：

问题根源 #

EC2实例角色的凭证确实会每12小时轮换，但AWS SDK的InstanceProfileCredentialsProvider（DefaultAWSCredentialsProviderChain的组成部分之一）本来就内置了自动刷新逻辑——它会在凭证过期前15分钟主动从实例元数据服务获取新凭证。你的代码失效，大概率是因为硬编码了环境参数，或者没有显式使用专门针对实例角色的凭证提供者。

解决方案 #

1. 用配置文件控制环境，避免硬编码 #

把本地/生产环境的切换逻辑从代码硬编码改为通过配置文件注入，这样不同环境只需修改配置，无需改动代码。

2. 生产环境显式使用InstanceProfileCredentialsProvider #

这个提供者是专门为EC2实例角色设计的，会自动处理凭证轮换，无需手动干预。

3. 升级AWS SDK到稳定版本 #

确保使用较新的AWS SDK for Java 1.x版本（比如1.12.x以上），旧版本可能存在自动刷新的bug。

修改后的完整代码 #

@Configuration
public class AmazonS3Config {
    // 从配置文件注入所有参数，不同环境可灵活配置
    @Value("${aws.region:ap-south-1}")
    private String clientRegion;

    @Value("${aws.s3.role-arn:arn:aws:iam::*************:role/awss3acess}")
    private String roleARN;

    @Value("${aws.s3.role-session-name:bucket_storage_audit}")
    private String roleSessionName;

    @Value("${aws.s3.bucket-name:testbucket}")
    private String bucketName;

    @Value("${aws.s3.local-mode:false}")
    private boolean isLocal;

    // 根据环境获取对应的凭证提供者
    private AWSCredentialsProvider getCredentialsProvider() {
        if (isLocal) {
            // 本地环境：通过STS AssumeRole获取临时凭证
            AWSSecurityTokenService stsClient = AWSSecurityTokenServiceAsyncClientBuilder.standard()
                    .withCredentials(new ProfileCredentialsProvider())
                    .withRegion(clientRegion)
                    .build();

            AssumeRoleRequest assumeRoleRequest = new AssumeRoleRequest()
                    .withDurationSeconds(3600)
                    .withRoleArn(roleARN)
                    .withRoleSessionName(roleSessionName);

            AssumeRoleResult assumeRoleResult = stsClient.assumeRole(assumeRoleRequest);
            Credentials creds = assumeRoleResult.getCredentials();

            return new AWSStaticCredentialsProvider(
                    new BasicSessionCredentials(
                            creds.getAccessKeyId(),
                            creds.getSecretAccessKey(),
                            creds.getSessionToken()
                    )
            );
        } else {
            // 生产/QA环境：使用EC2实例角色，自动处理凭证轮换
            return InstanceProfileCredentialsProvider.getInstance();
        }
    }

    @Bean
    public AmazonS3 s3client() {
        return AmazonS3ClientBuilder.standard()
                .withRegion(Regions.fromName(clientRegion))
                .withCredentials(getCredentialsProvider())
                .build();
    }
}

关键修改说明 #

• 配置参数注入：所有环境相关的参数（比如isLocal、clientRegion）都通过@Value从配置文件读取，本地环境可以在application-local.properties中设置aws.s3.local-mode=true，生产环境保持默认false即可。
• 生产环境凭证提供者：直接使用InstanceProfileCredentialsProvider.getInstance()，它会自动从EC2实例元数据服务获取角色凭证，并且定期刷新，完全不需要手动处理凭证轮换。
• 移除静态方法：把原有的静态loadCredentials改为成员方法，方便访问@Value注入的配置参数。

额外注意事项 #

1. EC2实例角色配置：确保你的EC2实例已经绑定了具有S3访问权限的IAM角色，并且实例可以正常访问AWS元数据服务（默认允许，除非有特殊网络限制）。
2. SDK版本升级：在pom.xml中使用最新的AWS SDK稳定版：

<dependency>
    <groupId>com.amazonaws</groupId>
    <artifactId>aws-java-sdk-s3</artifactId>
    <version>1.12.500</version> <!-- 替换为最新稳定版 -->
</dependency>
<dependency>
    <groupId>com.amazonaws</groupId>
    <artifactId>aws-java-sdk-sts</artifactId>
    <version>1.12.500</version>
</dependency>

3. 本地环境配置：确保你的~/.aws/credentials文件中有有效的本地凭证，并且该凭证拥有调用STS AssumeRole的权限。

这样修改后，你的应用在生产环境下会自动获取并刷新EC2实例角色的凭证，再也不会因为12小时的凭证轮换而出现访问失效的问题。

内容的提问来源于stack exchange，提问作者Bunny