Node.js使用aws-sdk从.env加载凭证报InvalidAccessKey如何解决

故障原因与对应解决步骤 #

• dotenv加载失效，环境变量未成功注入
  先在dotenv.config()执行后立即打印环境变量验证：console.log(process.env.AWS_ACCESS_KEY_ID, process.env.AWS_SECRET_ACCESS_KEY)，如果输出为undefined则属于这类问题，修复方案：

  • 确认.env文件放在项目根目录（即执行node命令的工作目录），如果放在其他路径，调用时指定路径：dotenv.config({ path: './config/.env' })
  • 检查.env文件格式：不要给密钥值加多余引号、等号前后不要留特殊空格、行尾不要有不可见特殊字符
  • 检查运行node进程的用户是否有.env文件的读取权限

• dotenv调用时机晚于AWS SDK初始化
  由于ES模块的导入提升特性，或者代码顺序问题，如果AWS SDK实例初始化在dotenv.config()执行前完成，SDK会读取不到刚注入的环境变量。
  正确代码顺序示例：

  // 第一步先加载dotenv
  import dotenv from 'dotenv'
  dotenv.config()
  // 再导入AWS SDK相关模块和自定义的S3实例
  import { S3 } from '@aws-sdk/client-s3'
  

  如果用ESM模式可以直接用启动参数加载dotenv，避免顺序问题：
  node --import dotenv/config your-entry-file.js

• AWS SDK配置覆盖了环境变量凭证
  如果你初始化S3客户端时手动传入了空的credentials参数，会覆盖默认的环境变量凭证加载逻辑，要么移除多余的credentials配置，要么显式传入环境变量值：

  const s3 = new S3({
    region: '你的AWS区域', // 注意：区域缺失也可能连带触发凭证错误
    credentials: {
      accessKeyId: process.env.AWS_ACCESS_KEY_ID,
      secretAccessKey: process.env.AWS_SECRET_ACCESS_KEY
    }
  })
  

• 密钥本身无效或被更高优先级凭证覆盖

  • 直接把密钥配置到系统环境变量，用AWS CLI执行aws s3 ls验证，如果同样报错，说明密钥本身无效，需要到AWS IAM控制台重新生成有效访问密钥
  • 检查本地是否存在~/.aws/credentials配置文件、是否设置了AWS_PROFILE环境变量，AWS SDK凭证链的优先级高于.env环境变量，如果这些位置的凭证无效，也会触发报错，可以删除无效本地配置或者显式指定使用环境变量凭证。

内容的提问来源于stack exchange，提问作者Ghost