boto3未指定profile调用SecretsManager报安全令牌无效如何解决

这个问题的核心是boto3的凭证加载链存在固定优先级规则：你不显式指定profile_name参数初始化Session时，程序不会默认直接读取本地AWS配置文件里的default配置，而是按优先级顺序从多个来源查找凭证，只要高优先级来源存在无效凭证，就会直接抛出token无效的报错，不会继续向后读取default配置。
常见触发场景有两类：

1. 当前运行环境配置了AWS_ACCESS_KEY_ID/AWS_SECRET_ACCESS_KEY/AWS_SESSION_TOKEN这类AWS凭证环境变量，变量内存储的密钥、临时token是错误、过期或无权限的。环境变量的凭证加载优先级高于本地配置文件的profile配置，会被程序优先取用
2. 当前运行环境配置了AWS_PROFILE环境变量，指向了一个不存在、凭证失效的自定义profile，不显式指定profile时boto3会优先加载这个环境变量指向的无效配置，而非default profile
   当你显式传入profile_name='default'时，相当于强制指定Session从本地AWS配置文件读取default块的有效凭证，跳过了前面高优先级的无效凭证来源，因此代码可以正常执行。

• 在运行代码的终端执行env | grep AWS，检查输出的所有AWS相关环境变量，确认是否存在错误的硬编码密钥、过期临时token，或是指向无效配置的AWS_PROFILE变量
• 检查本地~/.aws/credentials和~/.aws/config文件，确认[default]配置块下的凭证有效可用，其余自定义profile不存在格式错误
• 如果是在EC2、ECS、容器等云环境运行，检查实例角色/任务角色的元数据服务访问是否正常，避免元数据返回异常导致拿到无效临时凭证

• 如果不需要保留环境变量里的AWS配置，直接删除错误的环境变量即可，执行unset AWS_ACCESS_KEY_ID AWS_SECRET_ACCESS_KEY AWS_SESSION_TOKEN AWS_PROFILE清除无效变量后，不传profile参数boto3也会自动加载本地default profile的有效凭证
• 如果需要保留现有环境变量配置，可以沿用已经验证可行的方案，在初始化Session时显式指定profile_name='default'，强制读取有效配置
• 如果是本地AWS配置文件存在格式错误或凭证过期，重新执行aws configure，按照提示输入正确的default profile凭证即可修复

内容的提问来源于stack exchange，提问作者Alex Nae