如何在不发起请求的前提下预检查AWS凭证，避免boto3程序崩溃？

我之前也碰到过类似的困扰——让程序跑到一半才崩溃确实太不友好了，其实完全可以利用boto3本身的机制，在脚本启动时就完成凭证检查，不用自己去挨个排查所有复杂的凭证来源（毕竟AWS支持的方式真的太多：环境变量、本地凭证文件、EC2/IAM角色、ECS任务角色等等）。

方法一：快速检查凭证是否存在 #

这个方法轻量高效，只会确认boto3是否能找到可用凭证，不会验证凭证是否有效（比如过期、权限不足），适合只想提前拦截「无凭证」场景的情况：

import boto3
import sys

def check_aws_credentials():
    session = boto3.Session()
    credentials = session.get_credentials()
    if not credentials:
        print("错误：未找到AWS凭证！请通过以下方式之一提供凭证：")
        print("- 设置环境变量 `AWS_ACCESS_KEY_ID` 和 `AWS_SECRET_ACCESS_KEY`")
        print("- 在 `~/.aws/credentials` 文件中配置凭证")
        print("- 如果在AWS服务中运行（如EC2、ECS），确保已关联正确的IAM角色")
        sys.exit(1)

# 脚本启动时立即执行检查
check_aws_credentials()

# 后续业务逻辑示例
s3_client = session.client('s3')
# 继续执行你的操作...

方法二：严谨验证凭证有效性 #

如果想确保凭证不仅存在，还能正常调用AWS API，可以借助STS服务的get_caller_identity接口——这个接口几乎不需要额外权限，只要凭证有效就能返回用户/角色信息，能帮你提前发现无效、过期或权限异常的凭证：

import boto3
import sys
from botocore.exceptions import ClientError

def validate_aws_credentials():
    try:
        sts_client = boto3.client('sts')
        # 调用无权限门槛的接口验证凭证
        sts_client.get_caller_identity()
    except ClientError as e:
        error_code = e.response['Error']['Code']
        if error_code == 'InvalidClientTokenId':
            print("错误：提供的AWS Access Key ID无效或已被禁用")
        elif error_code == 'SignatureDoesNotMatch':
            print("错误：AWS Secret Access Key不正确")
        elif error_code == 'AccessDenied':
            print("错误：凭证没有调用STS服务的权限（这种情况极少，请检查IAM配置）")
        else:
            print(f"验证凭证时出错：{e}")
        sys.exit(1)
    except Exception as e:
        print(f"未找到有效的AWS凭证：{e}")
        sys.exit(1)

# 脚本启动时执行验证
validate_aws_credentials()

# 后续业务逻辑...

为什么推荐这种方式？ #

• 完全复用boto3官方的凭证查找逻辑，覆盖所有AWS支持的凭证来源，不用自己维护复杂的检查规则
• 两种方法按需选择：快速检查适合大多数场景，严谨验证适合对可靠性要求高的业务
• 错误提示清晰，用户能直接知道问题出在哪，该怎么解决

内容的提问来源于stack exchange，提问作者Mark Amery