CDK中Aspect内无法获取SecretsManager Secret指定的secretName问题

我在CDK中定义了一个SecretsManager Secret，显式指定了secretName：

new secretsmanager.Secret(this, 'MySecret', {
  secretName: 'my-secret-name'
})

但在自定义Aspect中访问secretName时，得到的不是预期的字符串，而是Token：

export default class NameCheckAspect implements cdk.IAspect {
  visit(node: IConstruct): void {
    if (node instanceof secretsmanager.Secret) {
      console.log(node.secretName) // 输出: ${Token[Fn::Join.248]}
    }
  }
}

我尝试用Stack.resolve()解析Token，结果得到的是CloudFormation的Fn::Join结构：

export default class NameCheckAspect implements cdk.IAspect {
  visit(node: IConstruct): void {
    if (node instanceof secretsmanager.Secret) {
      console.log(cdk.Stack.of(node).resolve(node.secretName))
    }
  }
}

解析结果：

{
  'Fn::Join': [
    '-',
    [ [Object], [Object], [Object], [Object], [Object], [Object] ]
  ]
}

想知道为什么会出现这种情况，以及有没有不用逃生舱就能获取原始secretName的方法。

出现这种情况的核心原因是CDK的Token机制：

• 高层的secretsmanager.Secret类提供的secretName属性，返回的是CloudFormation Token而非直接字符串，该Token会在部署阶段才被解析为实际资源名称。
• 若你启用了栈的enableResourceNameHash（CDK v2默认可能开启），CDK会自动在你指定的secretName后添加哈希值以确保资源名称全局唯一，此时secretName会被包装成Fn::Join结构，用于拼接原始名称和哈希值。
• Aspect运行在CDK的合成阶段，此时Token还未被解析为最终字符串值，因此你看到的是Token占位符或其对应的CloudFormation内置函数。

要获取显式设置的原始secretName，可以直接访问底层CloudFormation资源（CfnSecret）的secretName属性，而非高层Secret类的属性：

export default class NameCheckAspect implements cdk.IAspect {
  visit(node: IConstruct): void {
    if (node instanceof secretsmanager.Secret) {
      // 获取底层的CfnSecret资源
      const cfnSecret = node.node.defaultChild as secretsmanager.CfnSecret;
      // 这里会输出你设置的'my-secret-name'
      console.log(cfnSecret.secretName);
    }
  }
}

这种方法符合CDK设计逻辑，无需使用逃生舱：

• 高层Secret是CDK的L2构造，封装了底层的CfnSecret（L1构造）
• 你显式设置的secretName会直接传递给CfnSecret的同名属性，不会被Token包装（除非你传入的本身就是Token）
• 在合成阶段，CfnSecret的secretName属性保留了用户传入的原始字符串值

内容的提问来源于stack exchange，提问作者user3067870