如何在Node.js Lambda中配置AppSync使用Cognito用户池

1. 验证JWT Token有效性 #

• 必须使用ID Token而非Access Token：AppSync采用Cognito用户池认证时，仅接受ID Token作为凭证。
• 用jwt.io解析Token，核对以下核心字段：
  • iss：需与Cognito用户池的issuer URL完全一致（格式：https://cognito-idp.<region>.amazonaws.com/<user-pool-id>）
  • exp：Token未过期
  • cognito:username：字段存在且对应用户池内有效用户
  • aud：需匹配AppSync配置中关联的Cognito客户端ID

2. 核对AppSync与Cognito用户池关联配置 #

• 确认AppSync认证模式已设为AMAZON_COGNITO_USER_POOLS，并绑定了正确的用户池及客户端ID。
• 检查Cognito用户池的应用客户端设置：
  • 已启用对应认证流程（如ALLOW_USER_SRP_AUTH或ALLOW_USER_PASSWORD_AUTH，需与登录方式匹配）
  • 未勾选「Generate client secret」（Amplify客户端调用一般无需密钥）
• 确保AppSync服务角色拥有访问Cognito用户池的权限，示例权限策略：

  {
    "Effect": "Allow",
    "Action": [
      "cognito-idp:GetUser",
      "cognito-idp:VerifyToken"
    ],
    "Resource": "arn:aws:cognito-idp:<region>:<account-id>:userpool/<user-pool-id>"
  }
  

3. Lambda调用AppSync的正确配置 #

• 调用AppSync时，请求头Authorization必须严格遵循Bearer <ID_TOKEN>格式，注意Bearer后有空格。
• 核对GraphQL schema的@auth规则：确保owner字段的权限逻辑正确，比如：

  type YourModel @model @auth(rules: [{ allow: owner, ownerField: "owner", operations: [update] }]) {
    id: ID!
    owner: String
    # 其他字段
  }
  

  需保证JWT中的cognito:username与DynamoDB表中目标记录的owner字段值完全匹配。

4. 修复initiateAuth调用失败问题 #

• 调用initiateAuth时参数需与用户池配置匹配，示例代码：

  const AWS = require('aws-sdk');
  const cognito = new AWS.CognitoIdentityServiceProvider({ region: '<你的区域>' });
  
  const authParams = {
    AuthFlow: 'USER_PASSWORD_AUTH', // 需与用户池客户端启用的流程一致
    ClientId: '<你的Cognito客户端ID>',
    AuthParameters: {
      USERNAME: '<用户名>',
      PASSWORD: '<密码>'
    }
  };
  
  cognito.initiateAuth(authParams, (err, data) => {
    if (err) console.error('认证失败:', err);
    else console.log('ID Token:', data.AuthenticationResult.IdToken);
  });
  

• 常见失败原因：
  • AuthFlow与用户池客户端启用的认证流程不匹配
  • 用户名/密码错误，或用户未完成邮箱/电话验证
  • 客户端ID错误，或客户端配置了密钥但调用时未传入SecretHash参数

5. 日志排查定位 #

• 开启AppSync的CloudWatch日志，查看401错误的具体原因（如Token签名无效、权限规则不匹配等）
• 检查Lambda执行日志，确认JWT是否正确传递、请求头格式是否符合要求

内容的提问来源于stack exchange，提问作者JimmyTheCode