.NET 6 AWS Lambda本地开发：AWS Cognito权限控制测试方法咨询

一、快速跳过[Authorize]校验（本地开发专用） #

方法1：环境隔离的模拟认证方案 #

在Program.cs中根据开发环境替换认证与授权逻辑，本地自动模拟带权限的认证用户，无需手动处理Token：

var builder = WebApplication.CreateBuilder(args);

// 常规服务配置（如添加控制器等）...

if (builder.Environment.IsDevelopment())
{
    // 本地开发配置：自动通过认证并赋予模拟权限
    builder.Services.AddAuthorization(options =>
    {
        // 设置默认授权策略，允许模拟用户通过所有权限校验
        options.FallbackPolicy = new AuthorizationPolicyBuilder()
            .RequireAuthenticatedUser()
            .Build();
    });

    // 添加自定义模拟认证方案
    builder.Services.AddAuthentication("LocalDevAuth")
        .AddScheme<AuthenticationSchemeOptions, LocalDevAuthHandler>("LocalDevAuth", null);
}
else
{
    // 生产/测试环境：使用AWS Cognito正式认证
    builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
        .AddJwtBearer(options =>
        {
            options.Authority = "https://cognito-idp.{region}.amazonaws.com/{userPoolId}";
            options.TokenValidationParameters = new TokenValidationParameters
            {
                ValidateIssuer = true,
                ValidIssuer = "https://cognito-idp.{region}.amazonaws.com/{userPoolId}",
                ValidateAudience = true,
                ValidAudience = "{clientId}",
                ValidateLifetime = true
            };
        });
}

// 模拟认证处理器：生成带自定义角色/权限的用户身份
public class LocalDevAuthHandler : AuthenticationHandler<AuthenticationSchemeOptions>
{
    public LocalDevAuthHandler(IOptionsMonitor<AuthenticationSchemeOptions> options, ILoggerFactory logger, UrlEncoder encoder, ISystemClock clock)
        : base(options, logger, encoder, clock)
    {
    }

    protected override Task<AuthenticateResult> HandleAuthenticateAsync()
    {
        // 按需添加模拟的角色、自定义权限声明
        var claims = new List<Claim>
        {
            new(ClaimTypes.Name, "LocalDevUser"),
            new(ClaimTypes.Role, "Admin"),
            new("custom:permission", "edit:orders")
        };

        var identity = new ClaimsIdentity(claims, Scheme.Name);
        var principal = new ClaimsPrincipal(identity);
        var ticket = new AuthenticationTicket(principal, Scheme.Name);

        return Task.FromResult(AuthenticateResult.Success(ticket));
    }
}

方法2：条件编译快速禁用校验 #

针对单个控制器或方法，用条件编译让[Authorize]仅在非开发环境生效：

#if !DEBUG
[Authorize(Roles = "Admin")]
#endif
[ApiController]
[Route("api/[controller]")]
public class OrdersController : ControllerBase
{
    // 控制器逻辑...
}

这种方式简单直接，适合快速测试单个接口的场景，但需要修改代码。

二、本地模拟Cognito真实权限（贴近生产环境） #

如果需要验证真实的权限逻辑，而非完全跳过，可以：

1. 登录AWS Cognito控制台，在目标用户池中创建测试用户，生成有效的JWT Token（可通过应用客户端的测试功能获取）
2. 本地测试时，在请求头中手动携带该Token（格式：Authorization: Bearer {你的Cognito Token}），用Postman或Swagger发起请求
3. 保持Program.cs中的Cognito认证配置不变，在appsettings.Development.json中填入真实的Cognito参数：

{
  "Authentication": {
    "Cognito": {
      "Authority": "https://cognito-idp.{region}.amazonaws.com/{userPoolId}",
      "ClientId": "{clientId}"
    }
  }
}

三、Lambda本地运行注意事项 #

• 使用AWS Lambda Toolkit（VS/Rider插件）或Serverless Framework的serverless offline命令，模拟Lambda与API Gateway的运行环境
• 本地运行时确保appsettings.Development.json的配置与测试需求匹配，避免因环境变量缺失导致认证失败

内容的提问来源于stack exchange，提问作者ZedZip