如何引用AWS Secrets Manager存储的密钥作为Heroku环境变量

首先明确核心限制：Heroku 原生 Config Vars（即常说的环境变量）是 dyno 启动时静态注入进程内存的，本身不支持关联外部数据源自动更新，直接把密钥值存在 Heroku Env 里不可能实现「每次调用自动获取最新值」的效果，需要按以下步骤改造：

1. 配置基础访问凭证 #

先将访问 AWS Secrets Manager 所需的固定权限凭证配置为 Heroku 静态环境变量，这部分凭证不需要频繁轮换：

• 提前在 AWS IAM 创建专用账号，仅授予目标密钥的secretsmanager:GetSecretValue最小权限，禁止分配其他操作权限
• 通过 Heroku CLI 或后台配置页设置变量：

heroku config:set AWS_ACCESS_KEY_ID=你的IAM访问Key ID AWS_SECRET_ACCESS_KEY=对应的IAM访问密钥 AWS_SECRETS_REGION=密钥存储的AWS区域

2. 实现运行时动态拉取逻辑（核心） #

放弃「启动时读一次密钥存全局」的写法，封装独立的密钥获取方法，每次业务逻辑需要用到对应密钥时，实时调用 AWS SDK 拉取 Secrets Manager 的最新值：

• 可根据业务性能要求设置极短的本地缓存（建议TTL 10~30秒），平衡接口调用开销和密钥实时性，禁止设置长周期缓存
• 以 Python 环境为例的最简实现：

import boto3
import json
import os
from botocore.exceptions import ClientError

sm_client = boto3.client(
    'secretsmanager',
    region_name=os.getenv('AWS_SECRETS_REGION'),
    aws_access_key_id=os.getenv('AWS_ACCESS_KEY_ID'),
    aws_secret_access_key=os.getenv('AWS_SECRET_ACCESS_KEY')
)

# 每次使用密钥时调用该方法，不要提前将返回值存为全局常量
def get_latest_secret(secret_arn: str) -> dict:
    try:
        resp = sm_client.get_secret_value(SecretId=secret_arn)
        return json.loads(resp['SecretString'])
    except ClientError as e:
        raise e

其他语言（Node.js/Java/Go等）逻辑完全一致：将密钥读取逻辑封装为独立方法，按需实时调用即可。

3. 兼容旧代码的适配方案 #

如果现有业务代码已经大量使用os.getenv('DB_PASSWORD')这类直接读环境变量的写法，不需要全量改造，可以在应用入口处加一层读取拦截：

• Node.js 可通过Object.defineProperty劫持process.env对应属性的getter，触发读取时实时拉取最新密钥返回
• Python 可通过重写os.environ的__getitem__方法实现相同效果
• 其他语言均可通过类似的变量读取代理逻辑实现无感知适配

适配层不要加超过30秒的密钥缓存，否则会丢失实时更新的特性。

避坑说明 #

• 不要尝试通过定时脚本调用 Heroku API 刷新 Config Var：Heroku Config Var 更新后必须重启 dyno 才能生效到运行中的进程，重启会带来业务中断，且存在分钟级延迟，完全达不到实时获取最新值的要求
• 不要在 dyno 本地文件、进程全局变量中长期缓存拉取到的密钥值，否则 AWS 侧更新密钥后应用仍会使用旧值
• 部署在 Heroku 私有空间的应用，可以配置 VPC 端点直连 AWS Secrets Manager，避免公网调用带来的安全风险

内容的提问来源于stack exchange，提问作者cars