AWS Lambda已开启subprocess输出，为何日志未推送到CloudWatch？

问题原因 #

1. 异常捕获范围不全：你设置了check=True参数，subprocess执行返回非0退出码时会抛出subprocess.CalledProcessError异常，但当前代码仅捕获了subprocess.TimeoutExpired超时异常，非0退出场景直接触发Lambda默认错误输出，不会执行你自定义的日志打印逻辑。
2. 日志级别不匹配：超时场景你使用logging.debug打印输出，AWS Lambda Python运行时默认日志级别为INFO，DEBUG级别的日志默认不会推送到CloudWatch。
3. 正常执行路径无日志输出：即使命令执行成功，你仅将stdout、stderr赋值给变量，没有任何打印动作，相关内容自然不会出现在日志中。
4. 输出类型未适配：capture_output=True捕获的输出默认是bytes类型，直接打印会携带b''前缀，可读性差，也可能出现特殊字符显示异常。
5. 调用参数格式错误：你调用函数时传入的args是字符串'ls'，subprocess.run默认要求args为命令拆分后的列表（如['ls']），直接传字符串不加shell=True会触发执行错误。

解决方案 #

修改代码如下即可实现subprocess输出全部上报到CloudWatch：

import subprocess
import logging

# 配置日志级别，若需要保留DEBUG日志可改为level=logging.DEBUG
logging.basicConfig(level=logging.INFO)

def run_command(args, cwd):
    try:
        proc = subprocess.run(
            args,
            cwd=cwd,
            timeout=720,
            check=True,
            capture_output=True,
            # Python3.7+用text=True，低版本替换为universal_newlines=True，作用是直接返回字符串类型输出
            text=True
        )
        # 正常执行场景打印输出，按需开启
        logging.info(f"命令执行成功，标准输出：{proc.stdout}")
        if proc.stderr:
            logging.warning(f"命令执行标准错误输出：{proc.stderr}")
        return proc.stdout, proc.stderr
    except subprocess.TimeoutExpired as e:
        logging.error(f"命令执行超时，超时时间：720s")
        logging.error(f"超时场景标准输出：{e.stdout}")
        logging.error(f"超时场景标准错误：{e.stderr}")
        raise e
    except subprocess.CalledProcessError as e:
        logging.error(f"命令执行返回非0退出码，退出码：{e.returncode}")
        logging.error(f"非0退出场景标准输出：{e.stdout}")
        logging.error(f"非0退出场景标准错误：{e.stderr}")
        raise e
    except Exception as e:
        logging.error(f"命令执行出现未知错误：{str(e)}")
        raise e

调用时调整参数格式为列表：

run_command(['ls'], cwd)

补充说明 #

• 你的Lambda权限策略已经包含logs:CreateLogGroup、logs:CreateLogStream、logs:PutLogEvents权限，不需要额外调整权限配置。
• 如果确实需要使用字符串形式传参，可以在subprocess.run参数中添加shell=True，但该参数存在命令注入安全风险，若命令参数包含不可信输入请勿使用。

内容的提问来源于stack exchange，提问作者i'i'i'i'i'i'i'i'i'i'i'i