AWS AppSync中GraphQL动态groupsField在group为列表类型时失效

问题分析 #

当前Schema中groupRead设为数组类型[String!]时，执行搜索操作返回空数组并触发授权错误，但改为单值String!时正常。核心原因是：

• OpenSearch（原Elasticsearch）默认会将字符串数组映射为text类型，导致权限过滤时无法精确匹配用户组
• AppSync的groupsField权限规则对数组类型的字段需要正确的索引映射才能生效

解决方案 #

1. 调整Schema字段映射，指定数组为keyword类型 #

修改groupRead字段，通过@field指令强制OpenSearch将其存储为keyword数组（支持精确匹配），同时保留@searchable：

type something
@auth(
  rules: [
    { allow: groups, groups: ["Admin"] }
    { allow: groups, groupsField: "groupRead", operations: [read] }
    { allow: public }
  ]
)
@model
@searchable
{
  id: ID!
  phone: String
  email: String
  groupRead: [String!] @field(type: "keyword")
}

2. 重新部署并同步索引 #

• 执行Amplify部署命令更新Schema：

amplify push

• 等待OpenSearch索引重建完成（可在AWS控制台的OpenSearch服务中查看索引状态）

3. 验证权限逻辑 #

• 用Admin用户创建something记录，为groupRead赋值多个组（如["HR", "Engineering"]）
• 切换到属于HR或Engineering组的用户，执行搜索操作，确认能返回对应记录
• 检查用户JWT Token中的cognito:groups字段，确保组名称与groupRead中的值完全一致（大小写敏感）

额外注意事项 #

• 若不需要public权限，建议移除该规则以避免安全风险
• 若之前已有旧数据，需重新同步DynamoDB数据到OpenSearch（可通过Amplify的amplify sync或手动触发数据管道）

内容的提问来源于stack exchange，提问作者Maulik M Soni