如何集中更新多个AWS Lambda函数代码无需逐一重新部署

Lambda基于ECR镜像部署时，不会在调用阶段动态拉取ECR镜像，机制和Lambda Layer完全一致：镜像内容是在你部署函数、更新函数代码配置的阶段就被Lambda解析、拉取并固化为执行环境快照的，后续单纯更新ECR仓库内的镜像（哪怕覆盖原有标签），不会对已创建的Lambda函数生效，必须逐个触发函数的代码更新操作，才会拉取新镜像版本运行。

注意一个常见误区：不要以为给所有函数绑定同一个latest标签就能实现集中更新。Lambda在部署时会直接把标签解析为对应镜像的sha256 digest并写死在函数配置里，后续无论冷启动还是热启动，都不会再去ECR重新解析标签、拉取新镜像，哪怕你把ECR里原标签对应的旧镜像删掉，只要Lambda侧还有执行环境缓存，函数就能正常运行，不会主动同步新版本。

以下方案都可以保留每个Lambda函数独立的IAM角色、环境变量配置，完全满足最小权限原则要求，同时实现代码集中更新、无需逐函数手动重复部署：

• 采用Layer别名挂载公共代码：把所有公共业务逻辑打包为Lambda Layer，所有业务函数不绑定固定版本号的Layer，而是绑定Layer的自定义别名。每次更新公共代码后，只需要发布新的Layer版本，再把别名指向新版本，所有引用该别名的函数会在下次冷启动时自动加载新版本Layer代码，完全不需要逐个修改函数配置。
• 薄入口+集中代码存储：每个Lambda只保留3-5行引导入口代码，核心业务逻辑统一存放在S3的固定路径，函数冷启动时先从S3拉取最新版本的核心代码包到/tmp目录加载执行。你只需要更新S3上的核心代码包，所有函数下次冷启动就会自动运行新版本，缺点是冷启动会增加100-500ms的拉取开销，适合对冷启动延迟不敏感的场景。
• 用IaC工具实现批量更新：如果倾向于用容器镜像部署，完全可以用Terraform、AWS SAM、CDK这类基础设施即代码工具统一管理所有Lambda函数，把镜像地址作为全局公共变量，更新镜像后只需要执行一次部署命令，工具会自动批量完成所有关联函数的镜像更新触发，整个过程不需要手动逐个操作，实际运维效率和动态拉取没有区别。

内容的提问来源于stack exchange，提问作者V-Lamp