Express服务向S3存储桶上传对象时提示配置中缺少凭证如何解决

问题核心解答 #

你当前使用的是AWS JS SDK v2，正常情况下确实不需要手动管理凭证，SDK会按照默认凭证提供链自动依次搜索环境变量、~/.aws/credentials文件、IAM角色（ECS/EKS/EC2场景）等可用凭证来源。

你遇到的Missing credentials in config报错，是当前容器内的凭证配置不符合SDK读取要求导致的，常见原因和修复方案如下：

错误原因排查 #

• Dockerfile的凭证写入逻辑有问题：RUN指令是在镜像构建阶段执行，如果你执行docker build时没有通过--build-arg传入AWS_CREDENTIALS参数，最终写入到/home/node/.aws/credentials的内容是空值。此外你创建的.aws目录没有配置对应权限，node进程运行时默认没有读取该目录文件的权限。
• Assume Role生成的是临时凭证，你的credentials文件里必须包含aws_session_token字段才能生效，缺失该字段也会被判定为无效凭证。
• 往镜像内硬编码写入凭证属于高危操作，一旦镜像泄露凭证会直接暴露，更推荐用环境变量或者挂载volume的方式传递凭证。

修复方案 #

方案一：使用环境变量（更安全、更符合官方推荐）

直接在启动容器时传入官方要求的三个凭证环境变量即可，你的业务代码不需要做任何修改，SDK会自动读取：

docker run -e AWS_ACCESS_KEY_ID=你的AK \
  -e AWS_SECRET_ACCESS_KEY=你的SK \
  -e AWS_SESSION_TOKEN=你的临时Token \
  -e region=你的桶所在区域 \
  -e bucket=你的桶名 \
  你的镜像名

方案二：修复credentials文件配置

如果要沿用本地credentials文件的方案，修改Dockerfile如下：

1. 移除原有的凭证写入RUN指令，不要把凭证硬编码到镜像里
2. 启动容器时直接挂载本地的.aws目录到容器内，同时配置正确的运行用户：

docker run -v ~/.aws:/home/node/.aws \
  --user node \
  -e region=你的桶所在区域 \
  -e bucket=你的桶名 \
  你的镜像名

额外提示 #

你上传代码里有个笔误：你将上传结果赋值给了res变量，但是返回的是未定义的results，修正后逻辑才能正常运行。
你可以进入运行中的容器执行aws sts get-caller-identity命令验证凭证是否有效，如果该命令能正常返回身份信息，说明凭证配置没问题，反之则需要调整凭证传递逻辑。

内容的提问来源于stack exchange，提问作者SkinnyBetas