boto3调用DynamoDB UpdateItem报安全令牌无效如何解决

这个报错和权限不足没有关系。如果是IAM权限缺失，返回的错误码会是AccessDeniedException，和你现在看到的UnrecognizedClientException（安全令牌无效）完全是两类问题，哪怕你给IAM用户配了全管理员权限，只要凭证本身无效、请求没有被正确路由到对应AWS区域的DynamoDB服务，都会触发这个报错。

1. 先验证凭证本身的有效性 #

• 第一优先级检查你读取的AK/SK是不是正确的：复制的时候多带了空格、少了字符、用了已经被删除/禁用的旧访问密钥，是这个错误最高发的原因。拿你代码里读到的AK/SK直接在命令行跑下面的命令测试：

aws dynamodb list-tables --region us-west-2 --aws-access-key-id <你的AK值> --aws-secret-access-key <你的SK值>

如果命令行也报同样的安全令牌无效错误，直接去IAM控制台给对应用户生成全新的一组访问密钥替换即可，不要反复用旧密钥测试。

• 如果你用的不是IAM用户的长期密钥，而是STS签发的临时凭证，必须在初始化boto3客户端/资源的时候额外传入aws_session_token参数，缺了这个参数一定会报令牌无效。
• 检查运行环境的环境变量有没有脏配置：boto3有默认的凭证加载链，如果你的环境里额外配置了无效的AWS_SESSION_TOKEN、其他账号的旧AK/SK，可能会覆盖你代码里显式传入的配置。可以在初始化boto3之前加两行打印，确认代码实际拿到的凭证和你预期的完全一致：

print("当前使用AK:", AWS_ACCESS_KEY_ID)
print("当前SK字符长度:", len(AWS_SECRET_ACCESS_KEY))

2. 检查区域与网络配置 #

• 确认你的counterdb表确实创建在us-west-2区域：如果表实际在其他区域，加上你的网络环境配了错的VPC端点、代理规则，可能不会返回“表不存在”，而是直接报令牌校验失败。
• 如果你是在国内环境、本地IDC或者私有网络部署，检查有没有配置错误的服务端点：比如把中国区的请求发到海外区端点、或者把海外区请求发到了错的分区，AWS侧无法匹配对应账号的凭证，就会返回令牌无效。
• 检查运行环境有没有配置全局HTTP/HTTPS代理：代理篡改了请求的AWS签名头，会导致服务端签名校验失败，直接返回令牌无效，可以临时关闭代理测试请求是否正常。

3. 代码配置的小问题 #

你现在的代码同时初始化了DynamoDB的resource和client两套连接，建议先统一用一种连接方式测试，避免两边配置不一致。另外要注意读取环境变量的时候不要拼错变量名，避免拿到空值或者错误值传入boto3初始化参数。

内容的提问来源于stack exchange，提问作者user19341397