如何通过curl命令向启用IAM认证的AppSync发送GraphQL变更请求？

IAM认证不像API Key或OIDC那样只加个简单的Authorization头，它依赖AWS Signature Version 4签名机制，需要为请求生成专属签名并附带一系列头信息。下面给你两种可行的方法：

方法一：用AWS CLI直接发送（最省心） #

如果你已经配置好AWS CLI（本地凭证有appsync:GraphQL权限），直接用官方命令就能搞定，无需手动处理签名：

aws appsync graphql \
  --api-id 你的AppSyncAPIID \
  --query-string 'mutation CreateItem($input: CreateItemInput!) { createItem(input: $input) { id name } }' \
  --variables '{"input": {"name": "测试条目"}}'

方法二：手动构造带签名的curl请求 #

如果必须用原生curl，可以借助AWS CLI的sigv4命令自动生成签名后的请求头：

1. 先把GraphQL请求体保存为request.json：

{
  "query": "mutation CreateItem($input: CreateItemInput!) { createItem(input: $input) { id name } }",
  "variables": {"input": {"name": "测试条目"}}
}

2. 运行以下命令生成带签名的curl命令：

aws sigv4 sign \
  --service appsync \
  --region 你的AWS区域（比如cn-north-1） \
  --method POST \
  --url https://你的AppSyncAPIID.appsync-api.你的AWS区域.amazonaws.com/graphql \
  --body file://request.json \
  --output curl

执行后会输出一个完整的curl命令，包含所有必需的IAM签名头（比如Authorization、X-Amz-Date等），直接复制运行就能发送请求。

注意事项 #

• 确保本地AWS凭证（环境变量或~/.aws/credentials）拥有对应AppSync操作的权限
• 签名时要指定和AppSync API一致的AWS区域
• 如果用的是临时IAM凭证（比如角色授权），sigv4命令会自动添加X-Amz-Security-Token头

内容的提问来源于stack exchange，提问作者Joey Yi Zhao