网络传输JWT令牌是否需加密？AWS环境下加密方案咨询

背景信息 #

我正在AWS上开发一个简易React应用，后端采用GraphQL，通过AWS Lambda实现了GraphQL自定义认证机制——每次GraphQL调用都会包含查询/变更语句、相关变量以及已登录用户的JWT令牌。Lambda函数会验证该令牌：若令牌有效，就通过逻辑判断用户是否有权限访问请求的数据；若无效，则拒绝所有访问。目前用户的JWT令牌在GraphQL调用中是明文暴露的。

发送令牌的代码如下，其中lambdaAuthToken为JWT令牌：

import { API } from "aws-amplify";
import { GRAPHQL_AUTH_MODE } from "@aws-amplify/api";

const graphQLAuthMode = GRAPHQL_AUTH_MODE.AWS_LAMBDA;

export default async function fetchData(
  queryTemplate,
  queryVars,
  lambdaAuthToken
) {
  let response = [];
  try {
    response = await API.graphql({
      query: queryTemplate,
      variables: queryVars,
      authMode: graphQLAuthMode,
      authToken: lambdaAuthToken,
    });
    console.log(response);
  } catch (err) {
    console.log("Error fetching data.");
    console.log(err);
  }

  return response;
}

问题 #

请问通过网络传输未加密的JWT令牌是否存在安全漏洞？若存在，适合该场景的AWS原生加密方案有哪些？（前端使用React JS开发，自定义认证Lambda采用Python开发）

已查阅相关问题 #

我已查阅以下问题，但未找到适配本场景的解决方案：

• Should jwt web token be encrypted?
• JWT decrypt encrypted token
• Should authentication token be encrypted?

回答 #

一、未加密传输JWT的安全风险 #

存在明确的安全漏洞：

1. 窃听与冒充风险：如果传输未使用HTTPS，JWT会以明文在网络中传输，攻击者可通过中间人攻击窃取令牌，直接冒充用户发起未授权请求，获取敏感数据或执行操作。
2. 内容泄露风险：JWT的Payload部分仅为Base64编码而非加密，即使通过HTTPS传输，一旦令牌被窃取，攻击者可轻松解码获取用户身份、角色等信息，为后续攻击提供便利。

二、适配场景的AWS原生加密方案 #

针对React前端+Python Lambda的架构，推荐以下AWS原生方案：

1. 强制HTTPS传输（基础必备）

确保API Gateway（触发Lambda的GraphQL端点）仅接受HTTPS请求，禁用HTTP访问。AWS API Gateway默认支持HTTPS，可通过AWS Certificate Manager免费获取SSL证书并配置。前端Amplify调用API时默认使用HTTPS，只需确认配置的API端点为HTTPS地址即可。

2. AWS KMS加密JWT令牌

• 前端（React）：使用Amplify集成的KMS客户端，调用encrypt接口对JWT令牌加密，需通过IAM角色或Cognito身份池为前端用户配置KMS加密权限。
• 后端（Python Lambda）：使用boto3调用KMS的decrypt接口解密令牌，再执行原有的JWT验证逻辑。
• 注意：该方案会增加请求延迟，需根据业务场景平衡性能与安全性。

3. 整合AWS Cognito实现加密JWT（JWE）

借助Cognito原生能力生成加密格式的JWT（JWE）：

• 在Cognito中配置使用KMS密钥加密JWT的Payload部分，前端通过Cognito获取加密后的JWT。
• Lambda端使用boto3调用KMS解密JWT，再验证令牌有效性。这种方式无需手动实现加密逻辑，安全性与易用性兼顾。

4. AWS Secrets Manager管理加密密钥（辅助方案）

若需自定义加密逻辑，可将加密密钥存储在Secrets Manager中，Lambda从Secrets Manager动态获取密钥进行解密，避免硬编码密钥的风险。前端则使用对应的公钥进行加密（需确保公钥安全分发）。

内容的提问来源于stack exchange，提问作者sonny