AWS API Gateway基于路径变量结合Cognito实现细粒度权限控制方案咨询

方案对比与最优推荐 #

针对你的场景，三种可行方案的优先级从高到低如下：

1. 首选：API Gateway 原生JWT声明校验（零额外代码）

这是当前场景下成本最低、性能最好的方案，不需要编写任何额外鉴权代码：

• 首先将你的路由格式定义为带路径参数的规范格式：/api/{username}/board/{boardId}
• 在对应路由的Cognito授权配置中添加自定义访问规则：要求JWT中内置的cognito:username声明值必须和路径参数username完全匹配
• 不满足条件的请求会直接被API Gateway层拦截返回403，不会透传到后端Lambda，完全规避了无效请求的资源消耗。

2. 次选：自定义Lambda Authorizer

如果后续你的权限逻辑会扩展（比如新增角色校验、跨用户资源共享等复杂规则），优先选该方案：

• 鉴权逻辑统一收口在API Gateway层，不需要每个后端Lambda重复编写校验代码，避免漏加校验导致的安全漏洞
• 可开启鉴权结果缓存，降低重复请求的鉴权开销
• 权限规则迭代只需要修改Authorizer代码，不需要调整所有业务Lambda

3. 备选：后端Lambda内校验

仅当你的API数量少于3个、后续没有权限逻辑扩展计划时可以使用，该方案缺陷非常明显：

• 每个Lambda都需要重复编写JWT解析、校验逻辑，维护成本高
• 非法请求会直接透传到后端Lambda，造成不必要的资源消耗
• 后续权限规则调整需要修改所有业务Lambda，容易出现遗漏

注意事项 #

无论选择哪种方案，都不要手动解析校验JWT，优先使用AWS官方SDK提供的JWT校验能力，避免签名伪造等安全风险。

内容的提问来源于stack exchange，提问作者dq-charlie