Python中读取AWS共享凭证文件获取密钥的标准方法

别自己手写文件解析逻辑，AWS官方Python生态已经有现成的、完全符合凭证格式规范的实现，直接用就好，能覆盖所有官方规则里的特殊场景，后续也不用自己维护解析代码。

首选方案：使用boto3/botocore内置的凭证加载能力 #

boto3作为AWS官方Python SDK，自带完整的凭证解析、加载链路，默认行为完全对齐AWS规范，会自动识别你提到的两个环境变量：

• 自动读取AWS_SHARED_CREDENTIALS_FILE指向的凭证文件路径
• 自动加载AWS_PROFILE指定的profile配置
• 自动处理凭证文件里的多profile关联、角色链式跳转、临时凭证等手写解析很容易遗漏的逻辑
• 还会自动兼容其他AWS标准凭证来源（比如环境变量直接传入的密钥、云主机实例角色、本地awscli配置文件等），后续AWS更新凭证规则时，SDK会同步适配，不需要改动业务代码

最简单的用法示例：

from botocore.session import Session

# 初始化会话，自动走AWS默认凭证加载链路
session = Session()
# 拿到冻结的凭证对象，避免后续凭证自动刷新导致值变化
creds = session.get_credentials().get_frozen_credentials()

aws_access_key_id = creds.access_key
aws_secret_access_key = creds.secret_key
# 如果是临时凭证，可同步获取session token
aws_session_token = creds.token

如果需要跳过环境变量配置、强制指定目标profile，直接在初始化Session的时候传入参数即可：

# 强制加载指定名称的profile，忽略AWS_PROFILE环境变量
session = Session(profile_name="your-target-profile-name")

如果你的业务本身不需要调用AWS服务接口，不想引入全量boto3依赖，也可以单独安装轻量的botocore包——这是boto3的底层核心库，所有凭证解析逻辑都在这个包里，没有多余的服务API依赖，体积小很多，用法和上面完全一致。

避坑提醒 #

不要自己写INI解析逻辑读凭证文件：AWS的凭证/配置文件虽然是类INI格式，但有很多自定义扩展规则，比如跨profile的源凭证关联、角色跨账号跳转、config文件和credentials文件的配置合并优先级、配置段的特殊命名规则等，手写解析很容易漏边界场景，遇到临时凭证、跨账号角色配置时大概率出问题。

内容的提问来源于stack exchange，提问作者user3440012