如何让Apache+mod_wsgi部署的Flask应用使用aws configure配置？

我明白你遇到的困扰——通过aws configure生成的凭证文件在WSGI环境下没法被boto3正常识别，但硬编码环境变量就能正常运行。这本质上是WSGI进程的运行上下文（用户权限、家目录、环境变量）和你本地shell不一致导致的，下面给你几个靠谱的解决办法：

1. 确保WSGI进程能正确读取.aws目录及文件 #

mod_wsgi通常是以apache或者www-data用户身份运行的，你需要先确认权限和路径问题：

• 给你移动的.aws目录及内部文件设置正确的权限：

  chown -R apache:apache /path/to/your/wsgi-home/.aws
  chmod 700 /path/to/your/wsgi-home/.aws
  chmod 600 /path/to/your/wsgi-home/.aws/credentials
  

  （如果你的WSGI运行用户是www-data，就把apache:apache换成www-data:www-data）
• 验证WSGI进程的家目录是否正确：可以在Flask应用里加一段测试代码，查看日志输出：

  import os
  print(f"WSGI进程家目录: {os.path.expanduser('~')}")
  

  如果输出的路径不是你放置.aws的目录，就得把.aws移到这个正确的家目录里。

2. 显式指定AWS配置文件路径（通过Apache配置） #

不想依赖WSGI进程的家目录？可以直接在Apache的WSGI配置文件里指定凭证文件路径：
打开你的应用配置文件（比如/etc/httpd/conf.d/your-app.conf或/etc/apache2/sites-available/your-app.conf），添加环境变量设置：

WSGIDaemonProcess your-app user=apache group=apache home=/path/to/your/app-home
WSGIProcessGroup your-app
WSGIScriptAlias / /path/to/your/app.wsgi

# 新增这两行指定AWS配置文件路径
SetEnv AWS_SHARED_CREDENTIALS_FILE "/path/to/your/.aws/credentials"
SetEnv AWS_CONFIG_FILE "/path/to/your/.aws/config"

这样boto3会直接读取你指定的文件，不用依赖家目录的.aws文件夹。

3. 在WSGI启动文件中指定配置路径 #

如果不想修改Apache配置，也可以在Flask的WSGI启动文件（比如app.wsgi）里手动设置环境变量：

import os
import sys

# 指定AWS凭证和配置文件的绝对路径
os.environ['AWS_SHARED_CREDENTIALS_FILE'] = '/path/to/your/.aws/credentials'
os.environ['AWS_CONFIG_FILE'] = '/path/to/your/.aws/config'

# 导入并启动Flask应用
sys.path.insert(0, '/path/to/your/flask-app')
from app import app as application

这种方式比硬编码密钥更优雅，也不用把敏感信息写在业务代码里。

4. 生产环境推荐：使用IAM角色 #

如果你的Flask应用部署在AWS EC2、ECS或EKS等服务上，最安全省心的方式是给实例/服务绑定IAM角色。这样boto3会自动从实例元数据服务获取临时凭证，完全不需要管理本地的.aws配置文件，既避免了凭证泄露风险，又减少了运维成本。

为什么硬编码环境变量能正常运行？ #

因为你在WSGI启动文件里设置的os.environ['AWS_ACCESS_KEY_ID']和os.environ['AWS_SECRET_ACCESS_KEY']直接跳过了boto3的配置文件查找逻辑，直接注入了凭证信息，所以能正常工作。但上面的方法更符合AWS最佳实践，也更安全。

内容的提问来源于stack exchange，提问作者Alexander Efimov