如何使用Java借助AWS临时凭证从S3下载文件到Lambda临时目录

看起来你想在Lambda里安全地从S3下载Excel文件，避开公开文件权限和硬编码密钥的风险——这完全是AWS的最佳实践场景，我来帮你修正代码并解释之前的问题出在哪。

你的原代码问题分析 #

你尝试的代码有几个关键误区，导致无法正常工作：

• 错误使用凭证提供者：ProfileCredentialsProvider是给本地开发用的，用来读取你电脑上的~/.aws/credentials文件，但Lambda运行环境根本没有这个文件，所以拿不到凭证。
• 冗余的临时凭证逻辑：你同时调用了assumeRole和getSessionToken，这完全没必要。Lambda本身会自动通过执行角色获取临时凭证，不需要手动去申请会话令牌。
• 没有利用Lambda的IAM角色权限：Lambda访问AWS服务的标准方式是通过执行角色的权限，而不是手动去AssumeRole（除非你需要跨账号/跨角色访问）。

修正后的最佳实践代码 #

下面是符合Lambda运行环境的代码，完全不需要手动处理凭证，直接利用Lambda的执行角色权限：

import com.amazonaws.services.s3.AmazonS3;
import com.amazonaws.services.s3.AmazonS3ClientBuilder;
import com.amazonaws.services.s3.model.GetObjectRequest;
import com.amazonaws.services.s3.model.S3Object;
import org.apache.poi.xssf.usermodel.XSSFWorkbook;
import org.apache.poi.ss.usermodel.DataFormatter;
import java.io.*;

public class SlackAutomationHandler {
    // 把S3客户端定义为静态变量，避免每次Lambda调用都重建，提升性能
    private static final AmazonS3 s3Client = AmazonS3ClientBuilder.standard()
            .withRegion("eu-central-1")
            .build(); // 自动加载Lambda执行角色的临时凭证，无需手动指定

    public void setupWorkbook() throws IOException {
        String bucketName = "slack-automation";
        String s3FileKey = "slack.xlsx";
        String localFileName = "slack.xlsx";
        File tempFile = new File("/tmp/" + localFileName);

        try {
            // 直接从S3获取文件流
            S3Object s3Object = s3Client.getObject(new GetObjectRequest(bucketName, s3FileKey));
            
            // 使用try-with-resources自动关闭流，避免内存泄漏
            try (InputStream s3InputStream = s3Object.getObjectContent();
                 FileOutputStream fos = new FileOutputStream(tempFile)) {

                // 直接将S3流写入/tmp目录，无需中转ByteArrayOutputStream，节省内存
                byte[] buffer = new byte[1024];
                int bytesRead;
                while ((bytesRead = s3InputStream.read(buffer)) != -1) {
                    fos.write(buffer, 0, bytesRead);
                }
            }

            // 加载Excel文件并初始化工作簿
            try (FileInputStream fileInputStream = new FileInputStream(tempFile);
                 XSSFWorkbook workBook = new XSSFWorkbook(fileInputStream)) {

                workBookSheet = workBook.getSheet(workBook.getSheetName(0));
                rowCount = workBookSheet.getPhysicalNumberOfRows();
                formatter = new DataFormatter();
                // 这里可以添加你的后续业务逻辑
            }
        } catch (Exception e) {
            e.printStackTrace();
            // 建议添加自定义错误处理，比如抛出特定异常或记录日志
        }
    }

    // 根据你的需求定义类变量存储Excel相关对象
    private org.apache.poi.ss.usermodel.Sheet workBookSheet;
    private int rowCount;
    private DataFormatter formatter;
}

必须配置的IAM角色权限 #

要让Lambda能读取S3文件，你需要给Lambda的执行角色添加以下权限策略（可以在IAM控制台配置）：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::slack-automation/slack.xlsx"
        }
    ]
}

如果需要访问桶内多个文件，可以把Resource改为arn:aws:s3:::slack-automation/*。

额外注意事项 #

• Lambda临时目录限制：/tmp目录最大可用空间是512MB（不同运行时可能略有调整），确保你的Excel文件大小不超过这个限制。
• 资源自动关闭：使用Java的try-with-resources语法，确保所有流和Workbook资源自动关闭，避免内存泄漏。
• 客户端复用：把S3客户端定义为静态变量，Lambda的容器会复用这个客户端，减少初始化开销。

内容的提问来源于stack exchange，提问作者Sinar K.K