AWS SDK SES Client V3 基于Serverless框架发模板邮件时挂起无响应问题

排查步骤 #

1. 检查Lambda VPC配置

• 确认你的Lambda是否部署在VPC内：如果是，默认无法访问公网，而SES公共API端点需要公网访问权限。本地运行serverless offline时不在AWS VPC环境内，因此可以正常请求。
• 若必须将Lambda放在VPC内，两种解决方案：
  • 为VPC配置NAT网关，将Lambda放在私有子网，通过NAT网关访问公网SES端点
  • 为SES配置AWS PrivateLink VPC端点，无需公网访问即可调用SES API
• 额外验证：同一个Lambda的S3客户端正常，大概率是S3已经配置了VPC端点，安全组已放行对应访问，所以无异常。

2. 验证SES区域配置

• SES的域名验证、模板配置都是区域隔离的，确认你Lambda运行时的SES客户端初始化的区域，和你本地测试用的区域是否一致。
• 检查Lambda运行环境是否正确传入了SES区域的环境变量，避免默认使用Lambda部署区域，而该区域你未开通SES或者未配置对应发件人、模板。

3. 调整SES客户端超时配置获取错误日志

• AWS SDK V3支持自定义超时配置，你可以在初始化SES客户端时显式传入请求处理器配置，提前触发超时拿到明确错误，避免Lambda直接超时无日志：

import { SESClient, SendTemplatedEmailCommand } from "@aws-sdk/client-ses";
import { NodeHttpHandler } from "@aws-sdk/node-http-handler";

const sesClient = new SESClient({
  region: process.env.AWS_REGION,
  requestHandler: new NodeHttpHandler({
    connectionTimeout: 5000, // 连接超时5秒
    socketTimeout: 10000, // 套接字超时10秒
  }),
});

配置后重新部署，触发调用后CloudWatch会输出具体错误信息，可根据错误进一步定位。
4. 检查安全组出站规则

• 如果Lambda部署在VPC内，确认关联的安全组是否开放了443端口的HTTPS出站访问：
  • 若使用公网SES端点，需要放行到0.0.0.0/0的443端口出站
  • 若使用SES VPC端点，需要放行到对应VPC端点安全组的443端口出站

5. 确认SES沙盒环境限制

• 若你的SES还处于沙盒环境，只有验证过的邮箱地址可以作为收件人，本地测试用的是验证过的收件人，线上触发的收件人未验证的话会触发报错，但这种情况一般会快速返回错误，不会卡住超时，可作为最后排查项。

内容的提问来源于stack exchange，提问作者Vova