如何在Terraform Lambda代码中引用S3桶内Zip并实现自动更新？

一、错误原因拆解 #

1. filebase64sha256函数报错：这个函数的作用是读取本地文件计算哈希值，但你的Zip文件存储在AWS S3桶中，本地不存在对应路径的文件，因此必然触发找不到文件的错误。
2. 存储桶密钥/源无效：一方面是source_code_hash的写法错误——你试图访问.etag属性，但filebase64sha256返回的是字符串，不存在该属性；另一方面，错误的哈希值导致Lambda模块无法验证源文件的有效性。

二、ETag vs Source_Code_Hash：哪个适合触发更新？ #

两者都可以实现S3文件变更时自动更新Lambda，核心是获取S3文件的唯一标识：

• ETag：S3对象的默认标识符，文件内容变更时（常规上传场景）ETag会同步改变，实现简单。
• Source_Code_Hash：基于文件内容计算的SHA256哈希值，比ETag更严谨（避免分段上传场景下ETag不准确的问题）。

根据你的场景，两种方案都可行，以下是具体实现代码：

方案1：用ETag触发Lambda更新 #

# 先通过数据源获取S3中Zip文件的元数据
data "aws_s3_object" "student_lambda_zip" {
  bucket = "SaintJoseph"
  key    = "grade5/studentlist.zip"
}

module "student_lambda" {
  source = "https://....." # 你的Lambda模块地址
  handler       = "studentlist.lambda_handler" # 替换为你的实际handler路径
  s3_bucket     = data.aws_s3_object.student_lambda_zip.bucket
  s3_key        = data.aws_s3_object.student_lambda_zip.key
  # 用ETag作为变更触发标识
  source_code_hash = data.aws_s3_object.student_lambda_zip.etag
}

方案2：用SHA256哈希触发Lambda更新 #

data "aws_s3_object" "student_lambda_zip" {
  bucket = "SaintJoseph"
  key    = "grade5/studentlist.zip"
}

# 计算S3对象的base64编码SHA256哈希
locals {
  lambda_code_hash = base64encode(sha256(data.aws_s3_object.student_lambda_zip.body))
}

module "student_lambda" {
  source = "https://....."
  handler       = "studentlist.lambda_handler" # 替换为你的实际handler路径
  s3_bucket     = data.aws_s3_object.student_lambda_zip.bucket
  s3_key        = data.aws_s3_object.student_lambda_zip.key
  source_code_hash = local.lambda_code_hash
}

三、关键注意事项 #

• 确保Terraform执行环境拥有该S3桶的s3:GetObject权限，否则数据源无法读取文件元数据。
• 若使用的Lambda模块对source_code_hash格式有明确要求（比如必须是base64编码的SHA256），优先选择方案2；无特殊要求时，方案1更简洁。
• 当你在控制台修改S3中的Zip文件后，执行terraform plan会自动检测到ETag/哈希值的变化，进而触发Lambda函数的更新发布。

内容的提问来源于stack exchange，提问作者Min Yoongi