React Native+Expo Go应用调用AWS Lambda：替代访问密钥的安全认证方式？

直接说结论：绝对不要把IAM用户的accessKeyId和secretAccessKey打包到移动应用中，这是严重的安全风险——攻击者可以通过反编译App轻松提取这些长期密钥，哪怕你限制了权限，也可能被滥用（比如恶意调用消耗AWS资源）。

以下是更安全的替代方案：

1. 基于Amazon Cognito身份池获取临时凭证 #

这是AWS官方推荐的移动应用访问服务的标准方式：

• 创建Cognito身份池，根据业务需求选择启用「未经身份验证的身份」（允许匿名用户访问）或「经过身份验证的身份」（绑定Google/Apple登录、Cognito用户池等）。
• 给身份池对应的IAM角色配置权限，仅允许调用目标Lambda函数（和你之前的内联策略逻辑一致，但角色是临时的）。
• 在App中通过AWS SDK或Amplify获取临时访问凭证（这些凭证会自动过期，有效期通常1小时），再用临时凭证调用Lambda。即使凭证泄露，影响范围和时间也非常有限。

2. 用API Gateway作为Lambda的前端代理 #

把Lambda挂载到API Gateway之后，通过HTTP请求触发Lambda：

• 安全控制灵活：
  • 公开场景：启用API Gateway的API密钥+使用计划，限制调用频次，防止滥用。
  • 需用户认证场景：结合Cognito用户池，API Gateway验证用户的JWT令牌，只有合法用户才能发起请求。
• 这种方式完全不需要在App中存储任何AWS密钥，所有请求走HTTPS，API Gateway还能提供限流、日志、监控等额外能力。

3. 用AWS Amplify简化集成 #

Amplify封装了Cognito、API Gateway和Lambda的全套集成逻辑，不用手动写底层认证代码：

• 可以通过amplify add api快速创建绑定Lambda的API，或amplify add function创建Lambda后自动配置好权限和认证流程，大幅减少开发工作量。

内容的提问来源于stack exchange，提问作者a01027265