JS/TS如何实现服务启动时仅执行一次拉取AWS密钥写.env逻辑

要保证密钥拉取逻辑仅在服务启动时执行一次，核心是把整个初始化逻辑放在服务入口文件的最前置位置，在所有业务模块加载、服务端口监听之前执行完成，具体遵循以下规则即可：

• 逻辑不要写在路由、中间件、定时任务这类会被重复触发的代码块里，统一放在服务入口（比如index.ts/main.ts/app.ts）的最顶部。
• 写入.env时不要用追加模式，每次启动先清理旧的.env文件，避免历史残留的重复键、旧密钥导致配置加载错误。
• 必须等密钥拉取、写入、dotenv配置加载全流程完成后，再执行服务启动逻辑，避免业务代码启动时读不到密钥。
• 加异常捕获，密钥拉取或写入失败时直接终止启动流程，不要让服务带着缺失的配置带病运行。
• 多实例部署场景下该逻辑天然适配，每个服务实例启动时只会在自身容器/机器内执行一次拉取逻辑，不会重复触发。

import { getSecrets } from './你的aws密钥工具引入路径';
import { writeFileSync, existsSync, unlinkSync } from 'fs';
import { config } from 'dotenv';
import path from 'path';

const initSecrets = async () => {
  const envFilePath = path.join(__dirname, '.env');
  try {
    // 先删除已存在的旧.env文件，清除历史残留配置
    if (existsSync(envFilePath)) {
      unlinkSync(envFilePath);
    }

    // 拉取AWS Secrets Manager中的密钥
    const secretsRaw = await getSecrets("key");
    const secretMap = JSON.parse(secretsRaw);

    // 拼接标准env格式内容，一次性写入文件，避免循环追加的性能问题和重复写入风险
    const envFileContent = Object.entries(secretMap)
      .filter(([key]) => Object.prototype.hasOwnProperty.call(secretMap, key))
      .map(([key, value]) => {
        // 转义值内的单引号，避免破坏env文件格式
        const escapeValue = String(value).replace(/'/g, "\\'");
        return `${key}='${escapeValue}'`;
      })
      .join('\n');

    writeFileSync(envFilePath, envFileContent + '\n');

    // 写入完成后立即加载dotenv配置，后续所有代码可直接通过process.env读取密钥
    config({ path: envFilePath });
    console.log('密钥初始化完成，开始启动服务');
  } catch (error) {
    console.error('密钥初始化失败，终止服务启动：', error);
    process.exit(1);
  }
};

// 入口处立即执行初始化，完成后再启动业务服务
initSecrets().then(() => {
  // 下方写你的服务启动逻辑，比如Express/NestJS/Koa的端口监听代码
  // 示例：app.listen(3000, () => console.log('服务已启动在3000端口'))
});

• 采用appendFileSync循环追加写入：服务重启后新的密钥会追加在旧内容之后，出现重复配置键，dotenv默认加载第一个匹配的键值，会导致新密钥不生效。
• 没有等待异步写入完成就执行后续逻辑：Promise异步执行期间，业务模块可能已经完成加载、服务已经启动，此时.env还未写入完成，会出现配置读取为空的问题。
• 缺少异常处理：当AWS权限不足、网络超时、密钥格式错误时，服务会正常启动但读取不到密钥，引发业务报错。
• 没有处理特殊字符：如果密钥值本身包含单引号，会导致.env文件格式错误，配置解析失败。

内容的提问来源于stack exchange，提问作者Sehrish Waheed