React应用直接连接AppSync GraphQL是否安全？AWS Amplify相关疑问

1. API_KEY认证的安全边界 #

API_KEY认证本身就是为公开只读场景设计的，比如展示公开内容的博客、产品列表页。它确实存在密钥暴露风险——密钥会被打包进前端代码，用户能通过浏览器开发者工具提取。但你可以通过AppSync的细粒度权限控制来降低风险：

• 给API_KEY配置严格的访问策略，仅允许执行特定只读查询，禁止任何mutation操作
• 设置API_KEY的过期时间，定期轮换密钥

2. 为什么Amplify教程不推荐Lambda中转？ #

Amplify的核心设计思路就是让前端直接对接后端服务，减少不必要的中间层复杂度：

• AppSync本身已经集成了身份验证（Cognito、OIDC等）、细粒度字段级权限控制、数据缓存等能力，无需额外Lambda中转
• 引入Lambda中转反而会增加架构复杂度：你需要自己处理请求转发、身份凭证传递、错误捕获与处理，还会多一层调用延迟
• 对于需要权限控制的敏感场景，Amplify更推荐用Cognito用户池/身份池替代API_KEY，前端通过Amplify Auth获取临时凭证后再调用AppSync，这种方式不会暴露敏感密钥

3. 什么时候需要考虑Lambda中转？ #

只有满足以下场景时，才需要引入Lambda作为中转层：

• 需要在请求到达AppSync前执行复杂业务逻辑（比如数据预处理、调用第三方服务）
• 必须完全隐藏后端服务端点，不允许前端直接对接AppSync
• 要实现自定义身份验证逻辑，而AppSync自带的认证方式无法满足

内容的提问来源于stack exchange，提问作者Physix