如何允许AWS Lambda访问本地Laravel Sail数据库环境

该需求完全可以实现，不需要强制把本地数据库暴露到公网，也不用一开始就退回到手动导数据的低效方案，根据你的开发周期和调试频率选择对应方案即可。

方案1：零公网暴露的队列轮询方案（最推荐，安全无风险） #

这个方案完全不需要开放本地数据库的公网访问权限，不存在被扫描攻击的风险，且和生产环境架构逻辑一致，一次配置后可长期使用，步骤如下：

• 在AWS控制台创建一个标准SQS队列，配置访问权限，仅允许你的Lambda函数拥有向该队列发送消息的权限。
• 调整Lambda代码逻辑，将原本直接写入数据库的结构化数据打包为符合格式要求的消息，发送到上述SQS队列后即可返回，不需要等待入库流程完成。
• 本地Laravel Sail侧不需要做公网映射配置：如果项目本身已经使用Laravel队列能力，直接把SQS配置为队列连接，在Sail容器内运行php artisan queue:work sqs保持进程常驻，就可以自动拉取队列消息、按原有业务逻辑写入本地数据库；如果没用到Laravel队列，写一个简单的自定义Artisan命令实现SQS消息拉取、入库、消息删除的循环逻辑即可，开发时启动命令挂在终端就行。
• 该方案后续切生产时不需要修改Lambda侧代码，只需要把队列消费进程部署到生产环境、把写入目标切到RDS即可，开发和生产的逻辑一致性很高。

方案2：临时内网穿透方案（适合短期快速调试） #

如果只是临时调试1-2次功能，不想额外写队列相关逻辑，可以用临时TCP穿透的方式快速连通，步骤如下：

• 先确认本地Laravel Sail的数据库映射正常，用本地数据库客户端连接127.0.0.1:3306，使用Sail默认的账号（通常用户和库名都是sail，默认密码password，端口可在.env的FORWARD_DB_PORT项修改）验证可以正常读写目标库。
• 启动支持TCP协议的内网穿透，将本地3306端口映射为一个公网可访问的TCP地址+端口，注意必须给穿透规则加访问源限制，仅允许Lambda所在区域的AWS公网出口IP访问，禁止全网开放，同时不要用来源不明的免费穿透服务，避免测试数据被窃听。
• 在Lambda的环境变量中配置数据库连接信息：host填穿透生成的公网地址，port填穿透生成的端口，库名、账号、密码填本地Sail数据库的对应参数，Lambda代码中直接使用该连接信息写入数据即可。
• 重点提醒：调试完成后立刻关闭内网穿透进程，禁止长期把本地数据库暴露在公网，避免被暴力扫描攻击。

方案3：手动导入方案（极低频率调试备选） #

如果整个开发阶段只需要跑少数几次Lambda验证逻辑，不想做额外配置，手动导入的方案完全可用：

• 调整Lambda代码，把需要入库的结构化数据以JSON格式打印到CloudWatch日志中。
• 每次跑完Lambda后，直接到CloudWatch日志中复制对应输出内容，要么手动通过数据库客户端写入本地库，要么在本地Laravel中写一个临时的简易导入接口/Artisan命令，粘贴数据后批量写入本地库即可。
• 该方案缺点是无法做到数据实时同步，每次跑Lambda后都需要手动操作，仅适合调试频率极低的场景。

• 如果本地开发调试周期超过3天，优先选方案1，一次配置后全程无需额外操作，安全无风险，且和生产逻辑对齐，没有额外成本。
• 如果只是临时验证单个功能点，1-2次调试就能结束，选方案2最快，用完及时关闭穿透即可。
• 如果整个开发阶段总共只需要跑3-5次Lambda，直接选方案3最省事，不需要做任何额外的环境配置。

内容的提问来源于stack exchange，提问作者hyphen