使用aws-jwt-verify获取Cognito JWKs随机超时问题求助

问题核心分析 #

你遇到的随机超时问题，主要由以下几个原因导致：

• JWKS缓存完全失效：每次请求都创建新的CognitoJwtVerifier实例，导致SimpleJwksCache无法复用之前拉取的JWKS，每次都要重新发起网络请求，大大增加了超时概率。
• 超时配置未生效：代码中设置了5000ms超时，但报错显示是3000ms，说明实际生效的是默认超时，可能是配置传递错误或包版本问题。
• Lambda网络环境波动：Lambda的出站网络偶尔会出现延迟，尤其是在冷启动或VPC内配置不当的情况下。

具体修复步骤 #

1. 全局复用Verifier实例（关键修复） #

把CognitoJwtVerifier的创建移到middleware函数外部，作为模块级变量，这样整个Lambda生命周期内只会初始化一次，缓存才能真正生效：

修改auth.middleware.js：

const { CognitoJwtVerifier } = require('aws-jwt-verify');
const { SimpleJwksCache } = require("aws-jwt-verify/jwk");
const { SimpleJsonFetcher } = require("aws-jwt-verify/https");

// 全局初始化Verifier，仅在模块加载时执行一次
const verifier = CognitoJwtVerifier.create(
  {
    userPoolId: environment.cognito.userPoolId, // 注意修正原代码的变量名拼写错误（enviornment → environment）
    tokenUse: 'id',
    clientId: environment.cognito.appClientId,
  },
  {
    jwksCache: new SimpleJwksCache({
      fetcher: new SimpleJsonFetcher({
        defaultRequestOptions: {
          responseTimeout: 5000,
        },
      }),
    }),
  }
);

const verifyToken = async (req, res, next) => {
  // 正确提取Bearer Token（原代码没处理Bearer前缀）
  const token = req?.headers?.authorization?.split(' ')[1];
  if (!token) {
    return res.status(401).json({ message: '缺少认证Token' });
  }

  try {
    const decodedToken = await verifier.verify(token);
    // 可以把解码后的信息挂载到req上供后续路由使用
    req.user = decodedToken;
    next();
  } catch (err) {
    console.error('Token验证失败:', err);
    return res.status(401).json({ message: 'Token无效或已过期' });
  }
}

module.exports = verifyToken;

2. 确保超时配置生效 #

• 升级aws-jwt-verify到最新稳定版，避免旧版本的配置兼容问题：

npm update aws-jwt-verify

• 验证超时配置是否正确传递，确认SimpleJsonFetcher的responseTimeout参数确实覆盖了默认的3000ms。

3. 优化Lambda网络配置 #

• VPC内的Lambda：确保安全组允许出站访问cognito-idp.<你的区域>.amazonaws.com，同时配置NAT网关（如果没有公网访问权限）或直接使用Cognito的VPC端点（推荐，减少网络延迟）。
• 非VPC的Lambda：适当提高Lambda的内存配置（内存越高，CPU和网络带宽越好），降低冷启动和网络延迟的影响。

4. 添加重试机制应对网络波动 #

给JWKS请求添加重试逻辑，处理临时的网络故障：

const fetcher = new SimpleJsonFetcher({
  defaultRequestOptions: {
    responseTimeout: 5000,
  },
  retry: {
    maxRetries: 2,          // 最多重试2次
    retryDelayMs: 100,      // 重试间隔100ms
    retryableStatusCodes: [500, 502, 503, 504], // 针对服务器错误重试
  },
});

内容的提问来源于stack exchange，提问作者micronyks