能否信任AWS Lambda中event["requestContext"]["identity"]["cognitoIdentityId"]？

• 结论先行：event["requestContext"]["identity"]["cognitoIdentityId"]完全无法被用户篡改，可以安全用于数据访问控制。

• 原因解释：

  • 你的架构采用了AWS IAM授权器，所有请求必须通过IAM身份验证才能抵达Lambda。API Gateway在验证通过后，会自动填充requestContext内的身份字段——这些数据是AWS内部生成并注入的，完全不来自用户提交的任何内容（包括请求参数、Header、Body等），用户没有任何途径修改这个值。
  • 结合你的Cognito流程：用户通过用户池认证后，从身份池获取临时IAM凭证，请求API时携带这些凭证。IAM授权器会验证凭证的有效性（包括签名、权限范围、过期时间等），只有验证通过的请求才会被转发，此时填充的cognitoIdentityId就是身份池分配给该用户的唯一标识，不存在篡改可能。

• 实践建议：

  • 你可以直接用这个ID作为DynamoDB数据的分区键（比如把cognitoIdentityId作为每条用户数据的主键组成部分），或者在Lambda中查询数据时添加条件过滤，仅返回当前cognitoIdentityId对应的数据。
  • 示例Lambda代码片段：

    import boto3
    
    dynamodb = boto3.resource('dynamodb')
    table = dynamodb.Table('user-data-table')
    
    def lambda_handler(event, context):
        # 获取用户身份ID
        user_id = event["requestContext"]["identity"]["cognitoIdentityId"]
        
        # 查询仅属于该用户的数据
        response = table.query(
            KeyConditionExpression='user_id = :id',
            ExpressionAttributeValues={':id': user_id}
        )
        return {
            'statusCode': 200,
            'body': response['Items']
        }
    

  • 也可以配合DynamoDB的IAM策略，通过条件语句进一步强化访问限制，比如：

    {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Action": "dynamodb:GetItem",
                "Resource": "arn:aws:dynamodb:region:account-id:table/user-data-table",
                "Condition": {
                    "StringEquals": {
                        "dynamodb:LeadingKeys": ["${cognito-identity.amazonaws.com:sub}"]
                    }
                }
            }
        ]
    }
    

    这里的${cognito-identity.amazonaws.com:sub}与cognitoIdentityId一一对应，同样由AWS注入，无法被篡改。

内容的提问来源于stack exchange，提问作者user8316054