如何使用AWS SDK v3将React日志安全写入CloudWatch并结合Cognito认证

A) 该操作是否有必要性？ #

是否必要完全取决于你的应用场景和安全要求，核心判断依据如下：

• 有必要的场景：
  • 你的应用存在用户登录体系，需要将日志与具体用户身份关联，便于后续问题排查
  • 你需要避免匿名用户恶意刷日志，产生不必要的CloudWatch费用，或者污染日志数据
  • 日志中包含用户敏感信息，需要确保只有合法登录的用户才能上报对应日志
  • 你已经关闭了Cognito身份池的未认证访问权限
• 没必要的场景：
  • 你的应用是完全匿名的公开工具，没有用户登录逻辑
  • 你已经对未认证身份的IAM角色做了严格的最小权限限制，仅允许写入指定日志组，且做好了费用告警防护

B) 如何校验我的日志是否通过已认证凭证发送？ #

可通过以下几种方式验证：

1. IAM权限校验法：临时移除Cognito身份池关联的未认证角色的CloudWatch日志写入权限（即logs:PutLogEvents、logs:CreateLogStream），如果此时日志还能正常上报，说明用的是已认证凭证；如果报403权限错误，说明仍然在使用未认证凭证。
2. CloudTrail日志核查法：在CloudTrail中查找PutLogEvents事件，查看事件详情中的userIdentity字段，如果type为Authenticated且包含你配置的Cognito用户池登录提供商信息，就是已认证凭证发送的。
3. 凭证打印校验法：AWS SDK v3的credentials是异步可调用的，你可以在赋值后加一行调试代码打印凭证信息：

   const resolvedCreds = await creds();
   console.log(resolvedCreds.identityId);
   

   对比未登录时拿到的identityId，如果不一致且你在Cognito身份池的身份列表中能查到该ID关联了用户池登录信息，就是认证生效了。

注意：你当前的代码存在语法错误，大概率是你不确定是否生效的核心原因：你写的logins: { loginData }把已构造好的loginData对象又套了一层，正确写法应该是logins: loginData。这个错误会导致SDK识别不到传入的登录凭证，自动回退到未认证身份，所以你没收到报错但实际上认证没生效。

Ba) React环境中实现安全日志上报的正确模式是什么？ #

根据安全等级要求可以选择两种方案：

方案1：前端直接上报（低敏感业务适用） #

按以下要求改造即可：

1. 修复上述代码中logins的嵌套错误
2. 关闭Cognito身份池的未认证访问权限，从根源避免匿名调用
3. 给身份池关联的认证角色配置最小权限，仅开放必要的日志操作，资源限制到你指定的日志组：

   {
     "Effect": "Allow",
     "Action": ["logs:PutLogEvents", "logs:CreateLogStream"],
     "Resource": "arn:aws:logs:<区域>:<账号ID>:log-group:<你的日志组名>:*"
   }
   

4. 上报日志前前端做脱敏处理，避免泄露密码、身份证号等敏感信息

方案2：后端/API网关转发（高敏感业务推荐） #

更安全的做法是不让前端直接调用CloudWatch API：

1. 新增一个日志上报的后端接口，或者用AWS API Gateway配置一个HTTP接口
2. 接口用Cognito Authorizer校验前端传入的JWT，只有合法登录用户才能调用
3. 后端/API Gateway集成层收到日志后，做清洗、脱敏、限流后再写入CloudWatch
   这种方案不会向前端暴露任何AWS资源配置，也能完全避免恶意调用的风险。

内容的提问来源于stack exchange，提问作者Stefan Johnson