如何复用AWSELB Cookie为后端应用实现身份认证？

首先先纠正一个常见认知偏差：你提到的AWSELB是ALB的基础粘性会话Cookie，本身不存储任何OIDC认证相关信息，和ALB OIDC认证能力绑定的是AWSELBAuthSessionCookie前缀的加密Cookie，不要混淆两者的作用。

直接给结论：没有官方公开的独立Web校验接口供你单独调用校验这个认证Cookie，但不需要自己重复造会话轮子，有成熟的原生方案可以直接复用ALB的认证能力：

• 最推荐的方案：开启ALB的身份信息透传能力
  你完全不需要自己解析、校验ALB下发的认证Cookie。ALB本身会在转发请求到后端前，先完成Cookie有效性、过期时间的校验，校验通过的请求，ALB会自动把解析完成的身份信息以固定请求头的形式透传给后端，你后端代码直接读取对应头即可：
  • x-amzn-oidc-accesstoken：标准OIDC流程下发的access_token，你可以直接拿这个令牌调用OIDC提供商的UserInfo接口做额外校验，和你之前熟悉的通用OIDC校验逻辑完全一致
  • x-amzn-oidc-identity：OIDC返回的用户唯一标识（sub字段）
  • x-amzn-oidc-data：ALB签名的JWT格式身份载荷，包含全量用户claims、认证有效期等信息
    你只需要在ALB监听器的认证配置里打开「将用户身份信息转发给目标应用」的开关即可，整个认证会话的生命周期管理、Cookie校验全由ALB托管，不需要额外开发自定义会话逻辑。
• 非必要不推荐的本地方案：本地签名校验
  ALB的认证Cookie是用非对称密钥签名的，你可以拉取对应AWS区域的ALB公开签名密钥，在本地代码里完成Cookie的签名校验、有效期校验、用户信息解析，不需要依赖远程接口。但这个方案需要自己维护公钥轮换逻辑，且AWS没有对外承诺该Cookie的格式长期稳定，后续ALB版本迭代可能出现兼容性问题，生产环境不建议使用。

注意：绝对不要用AWSELB基础粘性Cookie做身份判断，这个Cookie仅用于将同一用户的请求路由到同一后端目标，没有任何身份认证语义，携带合法AWSELB Cookie的请求完全可能是未经过认证的非法请求。

内容的提问来源于stack exchange，提问作者Wisteso