现有React/Node项目添加AWS认证 复用Cognito用户池实现方法

核心说明 #

不需要安装Amplify CLI，不需要执行任何amplify开头的命令，不会创建任何额外AWS资源。Amplify的Auth模块支持独立引入、手动配置对接已有Cognito资源，只会用到登录登出相关的SDK方法，和你现有React+Node的项目结构完全兼容，不会侵入你已有的后端逻辑。

前端（React）实现 #

• 安装最小依赖：只装认证相关的包即可，不需要引入全量Amplify
  执行安装命令：
  npm install @aws-amplify/auth
• 在项目入口文件（main.jsx/App.jsx）初始化Auth配置，直接填入你们团队预置的Cognito用户池参数即可，不需要关联任何Amplify项目：

import { Amplify, Auth } from '@aws-amplify/auth';

Amplify.configure({
  Auth: {
    Cognito: {
      userPoolId: '替换为你的Cognito用户池ID，格式如ap-northeast-1_xxxxxxx',
      userPoolClientId: '替换为用户池下创建的前端应用客户端ID',
      loginWith: {
        email: true // 后续开注册时支持邮箱登录/注册，当前仅登录可保留
      }
    }
  }
});

• 封装登录、登出、状态判断的通用方法：

// 账号密码登录
export async function login(username, password) {
  const signInRes = await Auth.signIn(username, password);
  const idToken = signInRes.signInUserSession.idToken.jwtToken;
  // 登录态存在本地即可，后续请求自带
  localStorage.setItem('access_token', idToken);
  return signInRes;
}

// 退出登录
export async function logout() {
  await Auth.signOut();
  localStorage.removeItem('access_token');
}

// 获取当前登录用户信息，用于路由鉴权
export async function getCurrentUser() {
  try {
    return await Auth.currentAuthenticatedUser();
  } catch (e) {
    return null;
  }
}

• 接口请求统一加鉴权头：在你现有的请求封装（比如axios拦截器）里，从localStorage取token，放到请求头Authorization: Bearer ${token}里，发给你的Node后端即可。

后端（Node）实现 #

后端不需要接入任何Amplify相关依赖，只需要校验前端传的Cognito JWT合法性即可：

• 安装校验依赖：
  npm install jsonwebtoken jwks-rsa
• 编写通用鉴权中间件：

const jwt = require('jsonwebtoken');
const jwksRsa = require('jwks-rsa');

// 替换为你自己的Cognito区域、用户池ID
const COGNITO_REGION = '你的Cognito所在区域';
const COGNITO_USER_POOL_ID = '你的Cognito用户池ID';
const COGNITO_JWKS_URI = `https://cognito-idp.${COGNITO_REGION}.amazonaws.com/${COGNITO_USER_POOL_ID}/well-known/jwks.json`;
const COGNITO_ISSUER = `https://cognito-idp.${COGNITO_REGION}.amazonaws.com/${COGNITO_USER_POOL_ID}`;

const jwksClient = jwksRsa({ jwksUri: COGNITO_JWKS_URI });

const getSigningKey = (header, callback) => {
  jwksClient.getSigningKey(header.kid, (err, key) => {
    if (err) return callback(err);
    const publicKey = key.publicKey || key.rsaPublicKey;
    callback(null, publicKey);
  });
};

// 鉴权中间件，挂在需要登录才能访问的路由上
function authGuard(req, res, next) {
  const authHeader = req.headers.authorization;
  if (!authHeader?.startsWith('Bearer ')) {
    return res.status(401).json({ code: 401, msg: '请先登录' });
  }
  const token = authHeader.split(' ')[1];

  jwt.verify(
    token,
    getSigningKey,
    {
      algorithms: ['RS256'],
      issuer: COGNITO_ISSUER
    },
    (err, decoded) => {
      if (err) {
        return res.status(401).json({ code: 401, msg: '登录凭证无效或已过期' });
      }
      // 校验通过，把Cognito解析出的用户信息挂到req上，后续接口直接使用
      req.user = {
        username: decoded['cognito:username'],
        email: decoded.email,
        userId: decoded.sub
      };
      next();
    }
  );
}

module.exports = authGuard;

• 路由中使用中间件示例：

const express = require('express');
const router = express.Router();
const authGuard = require('./authGuard');

// 需要登录的接口直接挂载中间件
router.get('/api/profile', authGuard, (req, res) => {
  // 直接从req.user取当前登录用户信息
  res.json({
    code: 0,
    data: req.user
  });
});

后续上线注册功能的扩展说明 #

• 不需要改基础架构，直接在前端调用Auth.signUp()方法即可，参数传用户名、密码、邮箱等用户属性。
• 所有Cognito的配置（比如密码强度、邮箱验证模板、MFA开关）直接在AWS控制台操作即可，不需要通过Amplify CLI部署。

避坑提示 #

• Cognito的前端应用客户端一定要关闭「生成客户端密钥」选项，前端场景无法安全存储密钥，开启后所有SDK调用都会报错。
• 不要在后端写死公钥做JWT校验，一定要通过JWKS动态拉取Cognito的公钥，避免Cognito密钥轮换后校验失效。
• 不要安装全量aws-amplify包，单独装@aws-amplify/auth即可，包体积更小，也不会引入你不需要的其他模块逻辑。

内容的提问来源于stack exchange，提问作者arengit