AWS AppSync中OpenID Connect认证订阅失效问题求助

嘿，我之前刚好碰到过一模一样的AppSync OIDC订阅失效问题，给你梳理几个关键的排查点和解决办法：

1. 先确认OIDC令牌的核心字段 #

AppSync的订阅依赖OIDC ID Token里的两个必填字段：sub（用户唯一标识）和iss（发行者URL）。你得先检查你的OIDC提供商返回的ID Token里有没有这两个字段，而且格式要符合标准。另外，令牌有效期也得注意——订阅是长连接，如果令牌在连接过程中过期，会直接导致连接静默挂起，建议把有效期设成1小时以上，同时客户端要做令牌自动刷新的逻辑。

2. 订阅与触发突变的权限要匹配 #

你的responseTransaction突变同时加了@aws_iam和@aws_api_key，但订阅用的是@aws_oidc。这里有个容易忽略的点：当突变触发订阅事件时，AppSync会检查触发突变的请求身份是否允许订阅者接收这个事件。

• 最简单的办法是给responseTransaction突变也加上@aws_oidc指令，这样OIDC身份既能调用突变，订阅的OIDC用户也能收到事件；
• 如果突变必须用IAM/API Key触发，那你得在订阅的Lambda解析器里自定义权限逻辑，明确允许OIDC用户接收来自这些身份触发的事件。

3. 检查AppSync的实时设置 #

别漏了AppSync控制台里的实时配置：

• 进入你的AppSync API → 「设置」→ 「实时设置」，确保OIDC已经被勾选为「允许的认证类型」；
• 如果你的解析器Lambda在VPC里，得确认VPC的安全组和路由表允许AppSync的实时流量进入，不然订阅连接连不上解析器。

4. 给订阅解析器加日志排查 #

你可以在订阅的Lambda解析器里加一段日志，看看上下文里的身份信息是否正确：

// 订阅解析器里添加日志
console.log("订阅请求身份信息:", JSON.stringify($context.identity));

如果日志里看不到OIDC相关的身份数据，说明认证环节根本没通过，得回头检查OIDC提供商的配置和AppSync的OIDC身份池设置。

5. 客户端订阅的细节检查 #

• 客户端建立订阅连接时，一定要传OIDC ID Token，而不是Access Token——AppSync订阅只认ID Token作为OIDC认证凭证；
• 看看你用的AppSync SDK版本，旧版本可能有OIDC订阅的兼容性bug，建议升级到最新的稳定版（比如Amplify SDK的最新版）。

先从「实时设置」和「令牌字段」这两点查起，这两个是最常见的问题根源，大概率能解决你的问题。

内容的提问来源于stack exchange，提问作者Joey Yi Zhao