基于AWS Userpools实现移动应用安全用户属性存储的方案咨询

方案1：Amplify DataStore + DynamoDB 细粒度访问控制（最推荐，适配现有技术栈） #

你已经基于Amplify开发，这套方案可以无缝对接现有Cognito身份体系，不需要额外做身份适配，权限天然可控，完全满足仅本人和管理员访问的要求：

• 首先在Amplify schema里定义用户属性表，比如命名为UserProfile，字段包含id（直接对应Cognito用户的唯一标识sub）、points（积分）、loginDays（累计登录天数）等你需要的所有自定义字段
• 直接在schema中配置细粒度访问控制规则，示例如下：

type UserProfile @model @auth(rules: [
  { allow: owner, ownerField: "id", operations: [read, update] }, # 仅用户本人可读写自己的属性数据
  { allow: groups, groups: ["Admin"], operations: [read, update, create, delete] } # 管理员组用户可操作所有用户的属性数据
]) {
  id: ID!
  points: Int! @default(value: 0)
  loginDays: Int! @default(value: 0)
  # 其他自定义字段按需补充
}

• 部署完成后，Amplify官方Android/iOS SDK会自动生成对应的操作接口，移动端完成Cognito登录后，直接调用SDK的增删改查方法即可，不需要自己处理请求签名、权限校验逻辑，所有权限校验会在AppSync层自动完成，无权限请求会被直接拦截。底层数据存储在DynamoDB，默认不对外开放访问权限，只有AppSync服务有权限读写，完全避免公开泄露风险。

方案2：Cognito用户池自定义属性（适合自定义属性少的场景） #

如果你的自定义属性总数不超过50个，且不需要复杂查询逻辑，直接用Cognito自带的自定义属性成本最低：

• 在AWS控制台的Cognito用户池设置界面，添加自定义属性，比如custom:points、custom:login_days
• 配置属性的读写权限，设置为仅用户本人和管理员可读写，禁止其他用户访问
• 移动端直接调用Amplify Auth的updateUserAttributes、fetchUserAttributes方法即可完成属性读写，不需要额外集成其他服务

注意：Cognito自定义属性单次最多修改10个，查询延迟比DynamoDB高，仅适合属性数量少、读写频率低的场景

方案3：Amplify Storage 私有路径（适合搭配存储非结构化扩展数据） #

如果你除了积分、登录天数这类结构化数据之外，还要存储用户头像、游戏存档这类非结构化数据，可以搭配使用Amplify Storage的私有存储能力：

• 启用Amplify Storage时选择私有路径权限配置，每个用户的私有路径默认仅用户本人和管理员可访问
• 结构化属性也可以存储在私有路径下的JSON文件中，非结构化数据直接存对应格式的文件即可
• 移动端调用Amplify Storage SDK的uploadFile、downloadFile方法即可操作，SDK会自动定位到当前登录用户的私有路径，不需要手动拼接路径

选型建议 #

如果自定义属性都是结构化、需要高频读写，优先选方案1；如果属性少于50个、读写频率低选方案2；有非结构化数据存储需求可以搭配方案3使用。

内容的提问来源于stack exchange，提问作者coolyfrost