如何从AWS Lambda向AppSync GraphQL发送签名HTTP请求？

我之前也踩过这个坑——Amplify只适配浏览器环境，在Lambda里跑不起来；官方AppSync SDK又只支持管理员操作，没法直接调用用户端API。后来发现用AWS官方的签名工具库配合普通HTTP请求就能搞定，完全不需要依赖那些不兼容的库，亲测有效！

核心思路 #

AppSync的IAM认证本质就是遵循AWS Signature Version 4规范对请求进行签名，我们只需要用AWS提供的@aws-sdk/signature-v4库生成正确的签名头，再把这些头加到普通的HTTP请求里，就能合法调用AppSync的用户端API了。Lambda的执行角色会自动提供IAM凭证，不需要手动配置密钥。

步骤1：安装依赖（Node.js环境） #

如果你用Node.js写Lambda，需要安装两个核心库：

npm install @aws-sdk/signature-v4 @aws-crypto/sha256-js node-fetch

• @aws-sdk/signature-v4：负责生成Signature V4签名
• @aws-crypto/sha256-js：签名需要的哈希算法实现
• node-fetch：方便发送HTTP请求（Lambda Node.js 18+版本已经自带fetch，这步可以省略）

步骤2：编写Lambda函数代码 #

下面是完整的示例代码，注释已经写得很清楚：

const { SignatureV4 } = require("@aws-sdk/signature-v4");
const { Sha256 } = require("@aws-crypto/sha256-js");
const fetch = require("node-fetch"); // Node.js <18需要，18+可直接用全局fetch

// AppSync配置
const APPSYNC_ENDPOINT = "https://your-appsync-api-id.appsync-api.region.amazonaws.com/graphql";
const APPSYNC_REGION = "your-region";

exports.handler = async (event) => {
  // 1. 初始化签名器，自动从Lambda环境获取IAM凭证
  const signer = new SignatureV4({
    credentials: {
      accessKeyId: process.env.AWS_ACCESS_KEY_ID,
      secretAccessKey: process.env.AWS_SECRET_ACCESS_KEY,
      sessionToken: process.env.AWS_SESSION_TOKEN,
    },
    region: APPSYNC_REGION,
    service: "appsync",
    sha256: Sha256,
  });

  // 2. 定义GraphQL查询/突变内容
  const graphqlQuery = {
    query: `query GetTodo($id: ID!) {
      getTodo(id: $id) {
        id
        name
        description
      }
    }`,
    variables: { id: "your-todo-id" },
  };

  // 3. 生成签名后的请求参数
  const signedRequest = await signer.sign({
    method: "POST",
    headers: {
      "Content-Type": "application/json",
    },
    hostname: new URL(APPSYNC_ENDPOINT).hostname,
    path: "/graphql",
    body: JSON.stringify(graphqlQuery),
  });

  // 4. 发送请求到AppSync
  const response = await fetch(APPSYNC_ENDPOINT, {
    method: "POST",
    headers: signedRequest.headers,
    body: signedRequest.body,
  });

  const data = await response.json();
  return {
    statusCode: 200,
    body: JSON.stringify(data),
  };
};

步骤3：配置Lambda执行角色权限 #

别忘了给Lambda的执行角色添加AppSync调用权限，比如在IAM策略里加上：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "appsync:GraphQL",
      "Resource": "arn:aws:appsync:your-region:your-account-id:apis/your-appsync-api-id/types/Query/fields/getTodo"
    }
  ]
}

可以根据需要调整Resource范围，比如允许所有Query/Mutation的话，用arn:aws:appsync:your-region:your-account-id:apis/your-appsync-api-id/*。

关键注意点 #

• Lambda Node.js 18及以上版本已经内置了fetch，不需要安装node-fetch，直接用全局的fetch即可。
• 签名时的service参数必须是appsync，不能写错，否则签名无效。
• 确保AppSync API的认证模式包含IAM，并且你的Lambda角色有对应的权限。

这个方法完全避开了Amplify和AppSync SDK的限制，纯用基础工具实现，非常适合Lambda环境。

内容的提问来源于stack exchange，提问作者Michal Kalita