使用AWS CDK Aspects查询资源标签返回空的解决方法

根因 #

标签返回空值的核心原因有两个：

1. Aspect执行时机错误：CDK中Aspect按优先级数值从低到高执行，自定义Aspect默认优先级为0，而CDK内置的标签应用逻辑（包括Tags.of()全局打标、资源继承的层级标签）优先级为200，校验逻辑执行时标签还未被写入资源的TagManager，自然读不到值。日志中tag_values()返回空字典就是这个原因。
2. 标签读取方式错误：tag_values()方法仅能返回资源初始化时硬编码的非Token标签，其他Aspect注入的标签、全局继承标签、动态生成标签都不会出现在返回值中；visit方法中额外新建cdk.CfnResource的操作是无效逻辑，会向最终CloudFormation模板插入多余的无效资源。

修复方案 #

1. 调整Aspect执行优先级 #

将标签校验Aspect的优先级设置为校验级（数值400），确保它在所有资源修改、标签应用操作全部完成后再执行。

2. 用正确接口读取最终标签 #

优先级调整到位后，直接调用TagManager的render_tags()方法获取全量最终标签即可，不要使用tag_values()接口。如果遇到未解析的Token（比如引用其他资源属性的动态标签值），synth阶段无法拿到实际值，可以跳过值校验仅校验标签键是否存在。

修正后的可运行代码 #

import aws_cdk as cdk
from aws_cdk import aws_ec2 as ec2
import jsii

@jsii.implements(cdk.IAspect)
class TagValidation:
    def visit(self, node):
        # 匹配EC2 Cfn实例资源
        if isinstance(node, ec2.CfnInstance):
            # 优先级正确时，此处可获取所有应用完成的最终标签
            tags = node.tags.render_tags()
            tag_map = {tag["key"]: tag["value"] for tag in tags}
            
            # 示例校验规则：必须存在Environment标签，取值仅允许prod/dev/test
            if "Environment" not in tag_map:
                cdk.Annotations.of(node).add_error("EC2实例必须绑定Environment标签")
            else:
                env_val = tag_map["Environment"]
                # 跳过Token类型动态值，synth阶段无法解析实际内容
                if not cdk.Token.is_unresolved(env_val) and env_val not in ["prod", "dev", "test"]:
                    cdk.Annotations.of(node).add_error(f"EC2实例Environment标签值非法，当前值：{env_val}")

# 应用Aspect时指定校验级优先级，确保最后执行
cdk.Aspects.of(your_target_stack).add(TagValidation(), priority=cdk.AspectPriority.VALIDATING)

注意事项 #

• 不要在visit方法中新建任何构造体资源，会污染最终生成的CloudFormation模板
• 对于值为Token的动态标签，synth阶段无法获取实际取值，不要强行解析Token，否则会抛出异常
• 如果需要校验全栈所有资源的标签，把Aspect应用到栈根节点即可，不需要单独绑定到每个资源
• 校验报错建议用cdk.Annotations.of(node).add_error()方法抛出，会在synth结果中清晰标注错误资源位置，比直接抛原生异常更友好

内容的提问来源于stack exchange，提问作者David Riddle