AWS Amplify与DynamoDB安全问询：Express访问DynamoDB无凭证风险如何防范

核心说明 #

首先纠正你存在的一个认知误区：你本地可以不显性配置密钥就访问DynamoDB，不是因为访问数据库只需要区域和表名，而是AWS SDK会自动从本地环境加载可用的凭证，常见的凭证来源包括~/.aws/credentials配置文件、本地环境变量、Amplify CLI为开发环境生成的临时角色凭证等。其他人就算拿到你的表名和区域，没有对应AWS账号的合法IAM身份凭证，完全不可能访问你的DynamoDB资源，这点不需要过度担心。

提升访问安全性的具体措施 #

• 严格遵循IAM最小权限原则：给Express服务使用的IAM身份（开发环境用的用户、生产环境绑定的角色）只开放最小必要权限，比如仅允许对指定表执行特定的读写操作，不要赋予DynamoDB全量访问权限，更不要绑定管理员类的高权限角色。
• 生产环境禁止使用长期密钥：如果你的Express服务部署在AWS生态内（EC2/ECS/Lambda/ECS等），直接给服务实例绑定对应IAM角色，AWS SDK会自动获取临时凭证，不需要将access key、secret key硬编码在代码、配置文件或者环境变量中，从根源避免密钥泄露风险。
• 避免开发凭证泄露：将本地存储凭证的配置目录、包含密钥的.env等文件加入.gitignore，永远不要把任何有效密钥提交到代码仓库。
• 配置DynamoDB网络访问限制：为DynamoDB配置VPC端点，设置安全组规则仅允许指定VPC内的服务访问数据库，阻断公网直接访问DynamoDB的路径，就算出现密钥泄露，非授信网络环境下也无法访问数据库。
• 开启访问审计和异常监控：通过CloudTrail记录所有DynamoDB的访问请求，配置CloudWatch告警规则监控异常访问行为，出现非预期请求时可以及时处理。
• 不要直接暴露数据库到公网：所有外部用户对数据的操作都要经过你的Express服务做权限校验，比如登录态校验、用户资源归属校验等，永远不要把DynamoDB的访问权限直接下发给前端或者外部用户。

内容的提问来源于stack exchange，提问作者Monolord's Knight