如何借助AWS Cognito User Pool管理自定义应用角色权限？

针对你需要用Cognito User Pool管理自定义应用角色（如MANAGER）和权限（如create-new-employee），并控制React前端组件与Spring Boot+GraphQL后端权限的场景，以下是可行的落地方案：

核心实现思路 #

Cognito默认的Groups是对接AWS IAM权限的，但可以通过扩展Groups用途+自定义Token Claims的方式，把它改造成应用级权限管理的载体，也可以直接用用户自定义属性存储角色/权限信息。

方案1：基于Cognito Groups的角色权限管理 #

这是最常用的方式，适合按角色批量管理权限的场景：

• 直接在Cognito User Pool中创建应用角色对应的Group（比如MANAGER、EMPLOYEE）
• 给每个Group添加自定义属性（比如app_permissions），存储该角色的权限列表（用逗号分隔字符串，如create-new-employee,update-employee）
• 通过Cognito Pre Token Generation Lambda触发器，在生成用户的ID/Access Token时，把该用户所属Group的权限列表注入到Token的自定义Claim中（比如custom:permissions），这样前后端都能直接从Token中获取权限

方案2：基于用户自定义属性的权限管理 #

如果权限是用户级别的（不按组批量分配），可以用这种方式：

• 在Cognito User Pool中添加用户自定义属性，比如custom:role（存储用户角色）和custom:permissions（存储用户专属权限）
• 同样通过Pre Token Generation Lambda把这些属性注入到Token中，避免前端直接调用Cognito API获取属性

React前端权限控制实现 #

1. 解析Token获取权限：用户登录后，从Cognito返回的Token中提取custom:permissions字段，解析成数组后存在本地存储（如localStorage）
2. 封装权限判断工具：

const hasPermission = (requiredPerm) => {
  const userPerms = JSON.parse(localStorage.getItem('userPermissions')) || [];
  return userPerms.includes(requiredPerm);
};

3. 组件级权限控制：根据权限判断是否渲染组件

// 仅当有create-new-employee权限时显示创建表单
{hasPermission('create-new-employee') && <CreateEmployeeForm />}

4. 路由守卫：用React Router的路由拦截器，校验用户权限后再允许访问对应页面

Spring Boot + GraphQL后端权限控制实现 #

1. Token校验与解析：用spring-security-oauth2-jose依赖验证Cognito Token的合法性，解析出custom:permissions等自定义Claim，存入Spring Security的Authentication对象
2. 自定义权限注解+AOP：实现注解式权限校验

// 自定义权限注解
@Target(ElementType.METHOD)
@Retention(RetentionPolicy.RUNTIME)
public @interface RequiresPermission {
    String value();
}

// AOP切面实现校验逻辑
@Aspect
@Component
public class PermissionChecker {
    @Around("@annotation(permAnnotation)")
    public Object checkPermission(ProceedingJoinPoint joinPoint, RequiresPermission permAnnotation) throws Throwable {
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        List<String> userPerms = (List<String>) auth.getDetails();
        if (!userPerms.contains(permAnnotation.value())) {
            throw new AccessDeniedException("无权限执行此操作");
        }
        return joinPoint.proceed();
    }
}

// 在GraphQL Resolver中使用注解
@RequiresPermission("create-new-employee")
public Employee createEmployee(EmployeeInput input) {
    // 业务逻辑实现
    return employeeService.save(input);
}

3. GraphQL全局拦截：也可以实现GraphQlInterceptor，在所有查询/突变执行前统一校验权限

关键注意事项 #

• 在Cognito用户池的App Client设置中，必须把custom:开头的自定义Claim添加到「允许的OAuth范围」中，否则Token不会返回这些字段
• 如果用户属于多个Group，Pre Token Generation Lambda需要合并所有Group的权限，避免权限覆盖
• 权限变更后，需要让用户重新登录获取新Token，或者实现Token自动刷新机制

内容的提问来源于stack exchange，提问作者Suresh Sameera