如何在Flask中管理AWS令牌并实现自动刷新

1 首选方案：AWS IAM角色（无代码侵入，官方原生支持自动刷新） #

如果你的Flask应用部署在AWS基础设施上（EC2实例、ECS/EKS容器、App Runner、Elastic Beanstalk等），优先使用AWS原生的IAM角色能力，完全不需要自己实现凭证刷新逻辑：

• 给部署应用的AWS资源绑定带有目标AWS服务访问权限的IAM角色：EC2绑定实例配置文件（Instance Profile）、ECS绑定任务角色、EKS使用IRSA（IAM Roles for Service Accounts）、Lambda绑定执行角色即可
• 代码侧无需额外配置，boto3默认会按照凭证链优先级自动从对应资源的元数据服务拉取短期临时凭证，内置自动过期刷新能力，全程不需要人工维护密钥、更新凭证。

2 备选方案：非AWS部署场景自定义凭证刷新逻辑 #

如果应用部署在非AWS的线下服务器、第三方云服务器上，无法使用IAM角色，可通过boto3自带的凭证能力实现自动刷新：

所需依赖 #

不需要额外第三方库，直接使用boto3、botocore自带的RefreshableCredentials类即可实现自动刷新逻辑。

实现逻辑与示例代码 #

import boto3
from botocore.credentials import RefreshableCredentials
from botocore.session import get_session

def fetch_latest_credentials():
    # 自定义凭证拉取逻辑：可对接STS AssumeRole、AWS IAM身份中心SSO、OIDC身份提供商等获取临时凭证
    sts_client = boto3.client("sts")
    resp = sts_client.assume_role(
        RoleArn="arn:aws:iam::你的AWS账号ID:role/你的目标访问角色ARN",
        RoleSessionName="flask-app-sts-session",
        DurationSeconds=3600
    )
    return {
        "access_key": resp["Credentials"]["AccessKeyId"],
        "secret_key": resp["Credentials"]["SecretAccessKey"],
        "token": resp["Credentials"]["SessionToken"],
        "expiry_time": resp["Credentials"]["Expiration"].isoformat()
    }

# 初始化可自动刷新的凭证实例
refreshable_creds = RefreshableCredentials.create_from_metadata(
    metadata=fetch_latest_credentials(),
    refresh_using=fetch_latest_credentials,
    method="custom-sts-refresh"
)

# 绑定到boto3会话
botocore_session = get_session()
botocore_session._credentials = refreshable_creds
botocore_session.set_config_variable("region", "你的AWS区域，如cn-north-1")
aws_session = boto3.Session(botocore_session=botocore_session)

# 后续所有AWS客户端都通过这个会话初始化，会自动处理凭证过期刷新
# 示例：s3_client = aws_session.client("s3")

注意事项 #

• 禁止在代码、配置文件、镜像中硬编码长期IAM用户的AK/SK，所有凭证都走临时凭证生成逻辑
• 容器部署场景下，凭证相关的敏感配置通过运行时Secret挂载、环境变量注入，不要打包到镜像中
• 若线上环境支持对接OIDC身份提供商，优先通过OIDC对接STS获取临时凭证，避免使用长期密钥。

内容的提问来源于stack exchange，提问作者Invic18