PHP连接AWS DynamoDB：解决认证错误与数据查询指南

理解认证错误：UnrecognizedClientException

在使用aws sdk for php连接dynamodb时，如果遇到类似{"__type":"com.amazon.coral.service#unrecognizedclientexception","message":"the security token included in the request is invalid."}的错误，这通常意味着您的应用程序提供的aws安全凭证（access key id 和 secret access key）无效、不正确或缺失。aws服务在接收到请求后，会尝试使用这些凭证进行身份验证和授权。如果凭证无法被识别或验证失败，就会抛出此异常。

获取与配置AWS凭证

要成功连接AWS DynamoDB，您的PHP应用程序需要有效的AWS凭证。这些凭证通常通过AWS Identity and Access Management (IAM) 服务创建。

1. 创建IAM用户并获取访问密钥

   • 登录AWS管理控制台。
   • 导航至IAM服务。
   • 在左侧导航栏中选择用户，然后点击添加用户。
   • 为用户指定一个名称（例如 dynamodb-php-user），并选择编程访问作为访问类型。这将为您生成Access Key ID和Secret Access Key。
   • 在“权限”步骤中，您可以选择直接附加现有策略，例如 AmazonDynamoDBFullAccess（适用于测试环境）或创建自定义策略以遵循最小权限原则。建议为生产环境创建具有精细权限的自定义策略。
   • 完成用户创建后，务必保存或下载生成的Access Key ID和Secret Access Key。这些密钥只会在创建时显示一次，丢失后需要重新生成。

2. 配置区域 除了凭证，您还需要指定DynamoDB表所在的AWS区域（例如 us-west-2）。确保您在PHP代码中配置的区域与您的DynamoDB表实际所在的区域一致。

PHP AWS SDK集成与查询操作

配置好AWS凭证后，您可以在PHP应用程序中使用AWS SDK for PHP来连接DynamoDB并执行查询。

1. 安装AWS SDK for PHP

首先，通过Composer安装AWS SDK for PHP。在您的项目根目录执行：

立即学习“PHP免费学习笔记（深入）”；

composer require aws/aws-sdk-php

2. 初始化DynamoDB客户端

在您的PHP代码中，您需要引入SDK并初始化DynamoDbClient。在初始化时，传入您的Access Key ID、Secret Access Key以及DynamoDB所在的区域。

挖错网

一款支持文本、图片、视频纠错和AIGC检测的内容审核校对平台。

28

查看详情

示例代码：

<?php
require 'vendor/autoload.php'; // 引入Composer的自动加载文件

use Aws\DynamoDb\DynamoDbClient;
use Aws\DynamoDb\Marshaler; // 用于处理DynamoDB数据格式转换
use Aws\Exception\AwsException;

// 配置AWS凭证和区域
// 建议：避免将凭证硬编码在代码中。
// 生产环境中应使用环境变量、AWS IAM角色（如果运行在EC2/ECS上）或共享凭证文件。
$client = new DynamoDbClient([
    'region'      => 'us-west-2', // 替换为你的DynamoDB表所在的区域
    'version'     => 'latest',    // 始终使用最新版本的API
    'credentials' => [
        'key'    => 'YOUR_AWS_ACCESS_KEY_ID',     // 替换为你的Access Key ID
        'secret' => 'YOUR_AWS_SECRET_ACCESS_KEY', // 替换为你的Secret Access Key
    ]
]);

// Marshaler用于在PHP原生类型和DynamoDB的JSON类型之间转换数据
$marshaler = new Marshaler();

$tableName = 'YourTableName'; // 替换为你的DynamoDB表名
$partitionKeyName = 'YourPartitionKey'; // 替换为你的表的分区键名
$partitionKeyValue = 'SomeValue'; // 替换为你要查询的分区键值

try {
    // 构建查询参数
    // DynamoDB的查询操作需要指定分区键，并可选地指定排序键。
    // KeyConditionExpression 定义了查询条件。
    // ExpressionAttributeNames 用于替换表达式中的属性名，避免与DynamoDB保留字冲突。
    // ExpressionAttributeValues 用于替换表达式中的值，防止SQL注入类似的问题。
    $params = [
        'TableName'                 => $tableName,
        'KeyConditionExpression'    => '#pk = :pkval', // 查询条件：分区键等于指定值
        'ExpressionAttributeNames'  => [
            '#pk' => $partitionKeyName // 将 #pk 映射到实际的分区键名
        ],
        'ExpressionAttributeValues' => $marshaler->marshalJson('
            {
                ":pkval": "' . $partitionKeyValue . '"
            }
        ') // 将PHP值转换为DynamoDB的JSON格式
    ];

    echo "正在查询表 '{$tableName}'...\n";

    // 执行查询操作
    $result = $client->query($params);

    echo "查询成功！\n";
    echo "查询结果:\n";
    foreach ($result['Items'] as $item) {
        // 使用Marshaler将DynamoDB的JSON格式数据转换回PHP原生数组
        print_r($marshaler->unmarshalItem($item));
    }

} catch (AwsException $e) {
    // 捕获并处理AWS SDK抛出的异常
    echo "查询失败: " . $e->getMessage() . "\n";
    echo "错误码: " . $e->getAwsErrorCode() . "\n";
    if ($e->getAwsErrorCode() === 'UnrecognizedClientException') {
        echo "请检查您的AWS Access Key ID和Secret Access Key是否正确且有效。\n";
    }
}
?>

代码说明：

• DynamoDbClient：AWS SDK for PHP中用于与DynamoDB交互的核心类。
• Marshaler：这是一个非常实用的工具，它可以在PHP原生数据类型和DynamoDB特有的JSON数据格式（例如['S' => 'value']表示字符串，['N' => '123']表示数字）之间进行转换，极大地简化了数据处理。
• query()方法：用于根据分区键（和可选的排序键）查询表中的项目。
• KeyConditionExpression：定义了查询的条件。
• ExpressionAttributeNames：用于定义查询表达式中属性名的占位符，以避免与DynamoDB保留字冲突。
• ExpressionAttributeValues：用于定义查询表达式中值的占位符，这是一种安全实践，可以防止注入攻击，并确保正确处理数据类型。

安全最佳实践

将AWS凭证硬编码在代码中是非常不安全的做法。在生产环境中，应采用更安全的凭证管理方式：

• 环境变量：将AWS_ACCESS_KEY_ID和AWS_SECRET_ACCESS_KEY作为环境变量配置在服务器上。AWS SDK会自动检测并使用这些变量。
• IAM角色：如果您的PHP应用程序运行在AWS EC2实例、ECS任务或Lambda函数上，可以直接为这些服务分配IAM角色。SDK会自动从实例元数据中获取临时凭证，无需在代码或文件中配置任何密钥。这是最推荐和最安全的方法。
• 共享凭证文件：在~/.aws/credentials文件中配置凭证，例如：

  [default]
  aws_access_key_id = YOUR_AWS_ACCESS_KEY_ID
  aws_secret_access_key = YOUR_AWS_SECRET_ACCESS_KEY

  登录后复制

  SDK也会自动查找此文件。

常见问题与故障排除

• UnrecognizedClientException：
  • 检查凭证：首先确认您在代码中使用的Access Key ID和Secret Access Key是否与IAM用户创建时获得的完全一致，没有拼写错误或多余空格。
  • 凭证状态：在IAM控制台检查该用户的访问密钥是否已禁用或删除。
  • IAM策略：确保IAM用户拥有访问DynamoDB的足够权限。即使凭证本身有效，如果权限不足，也可能导致类似认证失败的错误。
• 区域不匹配：确保DynamoDbClient中配置的region与您的DynamoDB表实际所在的区域一致。
• 网络连接：确认您的服务器可以访问AWS DynamoDB服务。检查防火墙规则或代理设置。
• SDK版本：确保您使用的AWS SDK for PHP是最新版本，或至少是与您的PHP版本兼容的稳定版本。

总结

通过本文的指导，您应该能够理解并解决PHP连接AWS DynamoDB时常见的UnrecognizedClientException认证错误。关键在于正确配置有效的AWS凭证，并将其安全地集成到您的PHP应用程序中。掌握了这些基础知识，您就可以利用AWS SDK for PHP强大功能，在您的应用中有效地管理和查询DynamoDB数据。记住，始终遵循安全最佳实践，尤其是在处理敏感的AWS凭证时。

以上就是PHP连接AWS DynamoDB：解决认证错误与数据查询指南的详细内容，更多请关注php中文网其它相关文章！