理解认证错误：UnrecognizedClientException
在使用aws sdk for php连接dynamodb时，如果遇到类似{"__type":"com.amazon.coral.service#unrecognizedclientexception","message":"the security token included in the request is invalid."}的错误，这通常意味着您的应用程序提供的aws安全凭证（access key id 和 secret access key）无效、不正确或缺失。aws服务在接收到请求后，会尝试使用这些凭证进行身份验证和授权。如果凭证无法被识别或验证失败，就会抛出此异常。
获取与配置AWS凭证
要成功连接AWS DynamoDB，您的PHP应用程序需要有效的AWS凭证。这些凭证通常通过AWS Identity and Access Management (IAM) 服务创建。
-
创建IAM用户并获取访问密钥
- 登录AWS管理控制台。
- 导航至IAM服务。
- 在左侧导航栏中选择用户，然后点击添加用户。
- 为用户指定一个名称（例如 dynamodb-php-user），并选择编程访问作为访问类型。这将为您生成Access Key ID和Secret Access Key。
- 在“权限”步骤中，您可以选择直接附加现有策略，例如 AmazonDynamoDBFullAccess（适用于测试环境）或创建自定义策略以遵循最小权限原则。建议为生产环境创建具有精细权限的自定义策略。
- 完成用户创建后，务必保存或下载生成的Access Key ID和Secret Access Key。这些密钥只会在创建时显示一次，丢失后需要重新生成。
配置区域 除了凭证，您还需要指定DynamoDB表所在的AWS区域（例如 us-west-2）。确保您在PHP代码中配置的区域与您的DynamoDB表实际所在的区域一致。
PHP AWS SDK集成与查询操作
配置好AWS凭证后，您可以在PHP应用程序中使用AWS SDK for PHP来连接DynamoDB并执行查询。
1. 安装AWS SDK for PHP
首先，通过Composer安装AWS SDK for PHP。在您的项目根目录执行：
立即学习“PHP免费学习笔记（深入）”；
composer require aws/aws-sdk-php
2. 初始化DynamoDB客户端
在您的PHP代码中，您需要引入SDK并初始化DynamoDbClient。在初始化时，传入您的Access Key ID、Secret Access Key以及DynamoDB所在的区域。
示例代码：
'us-west-2', // 替换为你的DynamoDB表所在的区域
'version' => 'latest', // 始终使用最新版本的API
'credentials' => [
'key' => 'YOUR_AWS_ACCESS_KEY_ID', // 替换为你的Access Key ID
'secret' => 'YOUR_AWS_SECRET_ACCESS_KEY', // 替换为你的Secret Access Key
]
]);
// Marshaler用于在PHP原生类型和DynamoDB的JSON类型之间转换数据
$marshaler = new Marshaler();
$tableName = 'YourTableName'; // 替换为你的DynamoDB表名
$partitionKeyName = 'YourPartitionKey'; // 替换为你的表的分区键名
$partitionKeyValue = 'SomeValue'; // 替换为你要查询的分区键值
try {
// 构建查询参数
// DynamoDB的查询操作需要指定分区键，并可选地指定排序键。
// KeyConditionExpression 定义了查询条件。
// ExpressionAttributeNames 用于替换表达式中的属性名，避免与DynamoDB保留字冲突。
// ExpressionAttributeValues 用于替换表达式中的值，防止SQL注入类似的问题。
$params = [
'TableName' => $tableName,
'KeyConditionExpression' => '#pk = :pkval', // 查询条件：分区键等于指定值
'ExpressionAttributeNames' => [
'#pk' => $partitionKeyName // 将 #pk 映射到实际的分区键名
],
'ExpressionAttributeValues' => $marshaler->marshalJson('
{
":pkval": "' . $partitionKeyValue . '"
}
') // 将PHP值转换为DynamoDB的JSON格式
];
echo "正在查询表 '{$tableName}'...\n";
// 执行查询操作
$result = $client->query($params);
echo "查询成功！\n";
echo "查询结果:\n";
foreach ($result['Items'] as $item) {
// 使用Marshaler将DynamoDB的JSON格式数据转换回PHP原生数组
print_r($marshaler->unmarshalItem($item));
}
} catch (AwsException $e) {
// 捕获并处理AWS SDK抛出的异常
echo "查询失败: " . $e->getMessage() . "\n";
echo "错误码: " . $e->getAwsErrorCode() . "\n";
if ($e->getAwsErrorCode() === 'UnrecognizedClientException') {
echo "请检查您的AWS Access Key ID和Secret Access Key是否正确且有效。\n";
}
}
?>代码说明：
- DynamoDbClient：AWS SDK for PHP中用于与DynamoDB交互的核心类。
- Marshaler：这是一个非常实用的工具，它可以在PHP原生数据类型和DynamoDB特有的JSON数据格式（例如['S' => 'value']表示字符串，['N' => '123']表示数字）之间进行转换，极大地简化了数据处理。
- query()方法：用于根据分区键（和可选的排序键）查询表中的项目。
- KeyConditionExpression：定义了查询的条件。
- ExpressionAttributeNames：用于定义查询表达式中属性名的占位符，以避免与DynamoDB保留字冲突。
- ExpressionAttributeValues：用于定义查询表达式中值的占位符，这是一种安全实践，可以防止注入攻击，并确保正确处理数据类型。
安全最佳实践
将AWS凭证硬编码在代码中是非常不安全的做法。在生产环境中，应采用更安全的凭证管理方式：
- 环境变量：将AWS_ACCESS_KEY_ID和AWS_SECRET_ACCESS_KEY作为环境变量配置在服务器上。AWS SDK会自动检测并使用这些变量。
- IAM角色：如果您的PHP应用程序运行在AWS EC2实例、ECS任务或Lambda函数上，可以直接为这些服务分配IAM角色。SDK会自动从实例元数据中获取临时凭证，无需在代码或文件中配置任何密钥。这是最推荐和最安全的方法。
-
共享凭证文件：在~/.aws/credentials文件中配置凭证，例如：
[default] aws_access_key_id = YOUR_AWS_ACCESS_KEY_ID aws_secret_access_key = YOUR_AWS_SECRET_ACCESS_KEY
SDK也会自动查找此文件。
常见问题与故障排除
-
UnrecognizedClientException：
- 检查凭证：首先确认您在代码中使用的Access Key ID和Secret Access Key是否与IAM用户创建时获得的完全一致，没有拼写错误或多余空格。
- 凭证状态：在IAM控制台检查该用户的访问密钥是否已禁用或删除。
- IAM策略：确保IAM用户拥有访问DynamoDB的足够权限。即使凭证本身有效，如果权限不足，也可能导致类似认证失败的错误。
- 区域不匹配：确保DynamoDbClient中配置的region与您的DynamoDB表实际所在的区域一致。
- 网络连接：确认您的服务器可以访问AWS DynamoDB服务。检查防火墙规则或代理设置。
- SDK版本：确保您使用的AWS SDK for PHP是最新版本，或至少是与您的PHP版本兼容的稳定版本。
总结
通过本文的指导，您应该能够理解并解决PHP连接AWS DynamoDB时常见的UnrecognizedClientException认证错误。关键在于正确配置有效的AWS凭证，并将其安全地集成到您的PHP应用程序中。掌握了这些基础知识，您就可以利用AWS SDK for PHP强大功能，在您的应用中有效地管理和查询DynamoDB数据。记住，始终遵循安全最佳实践，尤其是在处理敏感的AWS凭证时。
