AWS CDK Analyzer

对 AWS CDK 应用进行分析，识别最佳实践、安全漏洞、成本优化机会及部署安全性问题。审查 Construct 模式、IAM 策略、资源配置以及合成后的 CloudFormation 输出。适用于 CDK 代码评审、生产环境部署准备或现有基础设施审计等场景。

使用方法

"分析我的 CDK 应用是否存在安全问题"
"审查我的 CDK Stack 中的 IAM 策略"
"检查我的 CDK 代码中是否存在成本优化机会"
"审计 CDK Construct 是否符合最佳实践"
"验证此次 CDK 更改的部署安全性"

工作原理

1. 项目发现

解析 CDK 应用结构：

# 检测 CDK 版本与语言
cat package.json | python3 -c "
import json, sys
d = json.load(sys.stdin)
for key in ['aws-cdk-lib', 'aws-cdk', '@aws-cdk/core']:
    ver = d.get('dependencies', {}).get(key) or d.get('devDependencies', {}).get(key)
    if ver: print(f'CDK: {key}@{ver}')
"

# 查找所有 Stack 定义
grep -rn "extends Stack|new Stack|class.*Stack" lib/ bin/ src/ 2>/dev/null
# 查找所有 Construct 文件
find lib/ src/ -name "*.ts" -o -name "*.py" | head -30

2. 安全审计

IAM 策略分析：

• 检测通配符权限（* 类操作或资源）
• 发现过度宽松的策略（如 AdministratorAccess、PowerUserAccess）
• 检查敏感操作是否缺少必要的 Condition Keys
• 验证最小权限原则是否落实
• 识别跨账户访问但未设置适当信任边界的场景

网络安全：

• 安全组对敏感端口开放 0.0.0.0/0 入站访问
• 本应私有化的资源被部署在公有子网中
• 缺失 AWS 服务所需的 VPC Endpoint
• 数据传输未加密（例如使用 HTTP 监听器、未加密连接）

数据保护：

• S3 存储桶未启用加密、版本控制或访问日志
• RDS 实例未启用静态加密
• DynamoDB 表未启用时间点恢复（PITR）
• 缺失 KMS 密钥轮转配置
• 将密钥硬编码在 CDK 代码中，而非使用 Secrets Manager

合规性：

• 是否启用 CloudTrail 日志记录
• 是否配置 VPC Flow Logs
• 是否配置 Config 规则以支持合规性监控
• 关键资源是否已制定备份计划

3. 成本分析

• 实例规格过大（可根据典型负载模式降配）
• 缺失自动扩缩容配置
• 本可使用预留实例（Reserved）或竞价实例（Spot）却采用了按需实例（On-Demand）
• NAT Gateway 成本过高（可考虑改用 VPC Endpoint）
• 存在未使用的弹性 IP（Elastic IP）
• CloudWatch 日志保留期限过长
• 缺失 S3 生命周期策略

4. 最佳实践

Construct 模式：

• 在已有 L2/L3 Construct 的场景下仍使用 L1 Construct（CfnXxx）——建议优先采用更高级别抽象
• 有状态资源（如 RDS、S3、DynamoDB）缺失删除策略（removalPolicy）
• 使用默认 Construct ID，导致生成的 CloudFormation 逻辑 ID 可读性差
• Stack 间依赖关系与跨 Stack 引用是否合理
• 是否恰当使用 Aspect 处理横切关注点（cross-cutting concerns）

代码质量：

• 应通过参数（Parameters）或上下文（Context）传入的值被硬编码
• 缺失用于成本分摊的 Stack 标签（stack tags）
• 环境相关配置未与 Construct 逻辑分离
• 缺失 Stack 描述信息（stack description）
• Construct 作用域（scope）与命名规范是否统一、合理

部署安全性：

• 更新时可能触发资源替换（存在数据丢失风险）
• 缺失 Stack 策略（stack policy），无法防止误删
• 未配置回滚策略（rollback configuration）
• CloudFormation 更改集（change set）审核不足

5. 合成与验证

# 执行 synth 并检查输出
npx cdk synth --quiet 2>&1
# 检查资源配置漂移（drift）
npx cdk diff 2>&1
# 验证 CloudFormation 模板中不包含敏感信息
grep -i "password|secret|key|token" cdk.out/*.template.json

6. 迁移建议

• CDK v1 到 v2 的迁移路径
• 功能开关（feature flag）使用建议
• Construct 库版本升级建议
• 破坏性变更（breaking change）检测

输出示例

## AWS CDK 分析 — MyApp（共 3 个 Stack）

### 🔴 严重问题（4 项）
1. **IAM 通配符权限** — lib/api-stack.ts:45  
   `PolicyStatement({ actions: ['s3:*'], resources: ['*'] })`  
   → 请限制为具体 S3 存储桶 ARN 和必需的操作

2. **RDS 实例公开暴露** — lib/database-stack.ts:23  
   生产数据库设置 `publiclyAccessible: true`  
   → 移至私有子网，通过跳板机（bastion）或 VPN 访问

3. **硬编码密钥** — lib/api-stack.ts:78  
   数据库密码写死在 CDK 代码中：`password: 'prod_db_pass123'`  
   → 改用 `secretsmanager.Secret.fromSecretNameV2()`

4. **S3 存储桶缺失删除策略** — lib/storage-stack.ts:15  
   默认 DESTROY 策略将在 Stack 删除时清空全部数据  
   → 添加 `removalPolicy: RemovalPolicy.RETAIN`

### 🟡 警告（6 项）
5. **Lambda 内存规格过大** — 分配 1024MB，平均使用仅 128MB  
6. **NAT Gateway 成本偏高** — $32/月，可改用 VPC Endpoint（$7/月）  
7. **CloudWatch 日志无保留期限** — 默认永久保留（$0.50/GB/月）  
8. **缺失标签** — 3 个 Stack 未配置成本分摊标签  
9. **误用 L1 Construct** — 在已有 s3.Bucket 的情况下使用 CfnBucket  
10. **缺失自动扩缩容** — ECS Service 使用固定任务数

### 💰 成本优化建议
| 资源 | 当前方案 | 优化方案 | 月度节省 |
|----------|---------|-----------|-----------------|
| NAT Gateway | $32 | VPC Endpoint $7 | $25 |
| Lambda 内存 | 1024MB | 256MB | ~$8 |
| CloudWatch 日志保留 | 无限期 | 30 天 | ~$15 |
| RDS 实例 | db.r5.xlarge | db.r5.large | $180 |
| **总计** | | | **~$228/月** |

### ✅ 已遵循的良好实践
- Stack 合理分层（API、Database、Storage）
- VPC 配置了标准子网层级（公有/私有/隔离子网）
- CloudFront 分发集成了 WAF
- 非敏感配置使用 Parameter Store 管理