如何结合Cognito与Express Gateway实现JWT校验？遇401问题求助

核心问题分析与修正方案 #

1. 策略配置结构错误 #

Express Gateway中oauth2与jwt是独立策略，不能将jwt嵌套在oauth2的action节点下。若仅需校验JWT令牌，应单独配置jwt策略。

2. 算法配置未替换占位符 #

Cognito默认使用RS256非对称加密算法生成JWT，需将algorithms字段替换为实际算法，而非占位符'alg'。

3. 公钥配置方式错误 #

从Cognito JWKS端点获取的是公钥集合，不能直接填入单个公钥字符串。推荐直接配置jwksUri，让网关自动拉取并使用有效公钥，避免手动解析公钥的错误。

4. 冗余配置项清理 #

clientId、clientSecret属于oauth2策略配置，纯JWT校验场景下无需添加；checkCredentialExistence在使用公钥校验时需设为false。

修正后的配置片段 #

policies:
  - proxy
  - logging
  - jwt
  - oauth2

pipelines:
  service1:
    apiEndpoints:
      - service1
    policies:
      - logging: {}
      - jwt:
          - action:
              algorithms: [ 'RS256' ]
              checkCredentialExistence: false
              # 替换为你的Cognito用户池完整URL
              issuer: 'https://cognito-idp.{region}.amazonaws.com/{userPoolId}'
              # 直接引用Cognito的JWKS端点
              jwksUri: 'https://cognito-idp.{region}.amazonaws.com/{userPoolId}/.well-known/jwks.json'
              # 替换为你的Cognito App Client ID
              audience: 'cognito-app-client-id'
      # 最后添加代理到后端服务的配置
      - proxy:
          - action:
              serviceEndpoint: 'http://your-service1-backend'

调试验证步骤 #

1. 校验JWT本身有效性
   用jwt.io解析你的Bearer Token，确认：

   • iss字段与配置的issuer完全一致（必须是完整的Cognito用户池URL）
   • aud字段匹配配置的audience（即Cognito应用客户端ID）
   • exp字段未过期
   • kid字段存在于Cognito JWKS返回的keys列表中

2. 查看网关详细日志
   开启Express Gateway的DEBUG日志（设置环境变量DEBUG=express-gateway:*），查看JWT校验失败的具体原因（如签名无效、issuer不匹配、令牌过期等）。

3. 确认请求格式
   检查Authorization请求头是否严格遵循Bearer {token}格式，无多余空格或拼写错误。

内容的提问来源于stack exchange，提问作者Zoe Lubanza