无后端认证机制架构：无需Lambda实现SPA访问AWS VPC内API的可行性问询

完全可以不用Lambda来搭建你描述的这套SPA认证+VPC内API调用的架构，下面是具体的实现方案，全部基于AWS原生服务完成：

1. 用Amazon Cognito处理OAuth2认证（无Lambda） #

你的SPA可以直接借助Cognito的Hosted UI来完成登录流程，全程不需要Lambda介入：

• 先在AWS控制台创建Cognito用户池，配置一个SPA类型的应用客户端：记得启用PKCE（因为SPA是公开客户端，无法安全存储密钥，PKCE是必须的防攻击手段），设置好你的SPA域名作为回调/退出URL。
• 前端代码里，在路由守卫（比如React Router的导航拦截、Vue的router.beforeEach）里检查本地存储的Access Token是否有效（可以解码令牌的exp字段判断过期时间）。如果没有有效令牌，直接跳转到Cognito Hosted UI的登录地址。
• 用户登录成功后，Cognito会自动回调到你配置的SPA页面，前端通过授权码（配合PKCE的验证码）交换得到Access Token和ID Token，把这些令牌存在本地存储里，之后所有API请求都在请求头带上Authorization: Bearer <你的Access Token>。

2. API Gateway直接对接VPC内的API（无Lambda） #

API Gateway支持通过**VPC链接（VPC Link）**直接转发请求到VPC内的后端服务，不需要Lambda做中转：

• 先在AWS控制台创建VPC链接：可以选择对接VPC内的应用负载均衡（ALB）、网络负载均衡（NLB），或者直接对接ECS/EKS的服务。
• 在API Gateway里创建对应的API资源和方法，把集成类型设置为HTTP_PROXY或者HTTP，关联你刚才创建的VPC链接，配置好后端服务的域名/IP和端口。
• 确保VPC的安全组允许API Gateway的访问流量，同时API Gateway的执行角色拥有使用VPC链接的权限。

3. API Gateway自动校验令牌（无Lambda） #

API Gateway可以直接集成Cognito用户池作为授权层，自动帮你校验请求中的Access Token：

• 在API Gateway的方法请求设置里，启用Cognito授权，选择你之前创建的Cognito用户池。
• 这样当SPA带令牌调用API Gateway时，API Gateway会自动验证令牌的有效性、过期时间以及对应的权限，无效请求直接返回401，有效请求才会转发到VPC内的后端API。
• 如果你的后端API需要获取用户信息，API Gateway会自动添加x-amzn-oidc-*系列请求头（比如用户ID、用户名、用户组等），后端直接读取这些头就行，不需要额外处理。

几个关键注意点 #

• 一定要给Cognito的SPA应用客户端禁用“生成客户端密钥”选项，因为SPA无法安全存储密钥，启用PKCE就足够安全了。
• VPC链接的配置要确保网络连通性：比如VPC的路由表要允许API Gateway的流量到达后端服务，安全组要开放对应的端口。
• 前端要做好令牌的过期处理：可以在每次请求前检查令牌有效期，快过期时自动触发刷新（Cognito支持用Refresh Token获取新的Access Token）。

内容的提问来源于stack exchange，提问作者Matt W