如何创建无需IAM或API密钥的完全公开AppSync方法？

针对你需要将部分AppSync方法设为公开、无需认证且避免自定义Lambda授权缺陷的需求，有以下两种更可靠的原生方案：

1. 基于IAM细粒度权限的未认证访问 #

启用Cognito身份池的未认证身份，通过IAM策略精确指定允许未认证用户访问的GraphQL操作，而非全局开放：

• 操作步骤：
  1. 在Cognito身份池配置中开启「未认证身份访问」，生成对应的未认证IAM角色。
  2. 给该角色附加仅允许访问指定公开操作的IAM策略，示例如下：

     {
       "Version": "2012-10-17",
       "Statement": [
         {
           "Effect": "Allow",
           "Action": ["appsync:GraphQL"],
           "Resource": [
             "arn:aws:appsync:你的区域:你的账号ID:apis/你的API ID/types/Query/fields/公开查询方法名",
             "arn:aws:appsync:你的区域:你的账号ID:apis/你的API ID/types/Mutation/fields/公开变更方法名"
           ]
         }
       ]
     }
     

  3. 在AppSync控制台的「设置」中，将IAM添加为授权类型之一。
• 核心优势：AWS原生权限控制，每次请求都会验证权限，不存在自定义Lambda可能出现的缓存越权、逻辑漏洞问题；权限粒度精确到单个GraphQL字段，最小化风险。

2. 拆分公开操作到独立的AppSync端点 #

将所有公开操作单独部署一个AppSync API，配置为无需认证的开放访问：

• 操作步骤：
  1. 创建新的AppSync API，仅包含需要公开的GraphQL类型和字段。
  2. 在API的授权类型设置中，选择NONE（无需任何认证）。
  3. 若需防止恶意滥用，可搭配AWS WAF设置请求频率限制、IP白名单等规则。
• 核心优势：公开与私有操作完全隔离，彻底避免越权访问私有方法的可能；配置简单，无需维护权限列表或编写授权Lambda。

通用注意事项 #

• 无论采用哪种方案，都要在AppSync的Resolver中对公开操作的输入参数做严格校验，防止恶意注入或非法请求。
• 方案1中需确保未认证IAM角色的权限最小化，绝不授予全局appsync:GraphQL权限。
• 方案2使用NONE授权时，建议开启CloudWatch日志监控请求，及时发现异常访问。

内容的提问来源于stack exchange，提问作者Raph