使用AWS Identity Pool访客访问公开API端点的优缺点及疑问

• 请求身份可追溯：每个访客请求都会绑定唯一的Cognito访客身份ID，你能在CloudWatch或API Gateway访问日志中追踪这个ID对应的行为，相比API密钥只能识别密钥归属，能更精准排查异常请求。
• 更细粒度的权限管控：通过IAM策略可以给访客身份池配置精细化权限，比如限制特定API路径的访问频次、允许的HTTP方法，甚至添加条件（如仅允许指定域名的请求）；而API密钥通常只能做全局启用/禁用，没法针对不同场景做差异化控制。
• 临时凭证自动轮换：Cognito生成的是临时IAM凭证（Access Key、Secret Key、Session Token），会自动过期轮换（默认有效期1小时），就算凭证泄露，风险持续时间也很短；API密钥是长期有效，泄露后必须手动轮换，操作成本更高。
• 无缝扩展认证用户能力：如果后续你的应用需要支持注册登录的认证用户，这套架构可以直接扩展——只需将访客身份切换为认证用户身份，权限策略也能平滑过渡，无需重新调整API Gateway的验证逻辑。

• 没错，任何人确实可以通过公开的身份池ID获取访客凭证，但Cognito有多重机制降低风险：
  • 权限范围严格受控：你给访客身份池配置的IAM策略是有限定的，比如仅能访问你的指定API，无法触及其他AWS资源（如S3、DynamoDB），就算凭证被获取，也只能执行你允许的操作。
  • 签名验证确保请求合法性：API Gateway验证签名时，会校验凭证的有效性（是否过期、是否属于你的身份池），且签名基于请求内容生成，无法直接重放已捕获的请求（除非拿到当前有效临时凭证和对应请求参数）。
  • 可选的身份池防护配置：你可以给身份池设置身份提供者限制，比如仅允许来自你的域名的请求获取访客凭证（通过Cognito身份池的“身份验证提供商”配置自定义规则，或结合Amplify限制请求Origin），进一步缩小可获取凭证的范围。
• 对比API密钥，访客凭证的泄露风险更低：API密钥是静态值，一旦被抓包就能长期使用；而临时凭证有过期时间，且每个请求的签名都不同，抓包拿到的请求无法直接复用发起新请求。

内容的提问来源于stack exchange，提问作者Mark