如何在NodeJS（EC2）服务器端验证AWS Cognito用户身份？

嘿，你的思路完全没问题——用客户端生成的JWT令牌传给Node.js服务器验证，这在AWS Cognito用户池场景下是完全可行的，而且是最常用的方案之一。不过咱们可以把实现细节理清楚，再聊聊有没有更省心的优化方式。

AWS Cognito用户池在用户登录后，会给iOS客户端返回ID Token和Access Token（都是JWT格式），你可以把其中一个（推荐用ID Token做身份验证，Access Token更多用来调用Cognito的API）放在请求的Authorization头里（格式为Bearer {token}）传给EC2上的Node.js服务器，服务器端通过验证JWT的签名、有效期、受众等信息来确认用户身份。

具体实现可以用jsonwebtoken结合jwks-rsa库（自动从Cognito获取公钥，不用手动管理），代码示例如下：

const jwt = require('jsonwebtoken');
const jwksClient = require('jwks-rsa');
const express = require('express');
const app = express();

// 初始化Cognito公钥客户端
const cognitoClient = jwksClient({
  jwksUri: 'https://cognito-idp.{你的AWS区域}.amazonaws.com/{你的用户池ID}/.well-known/jwks.json'
});

// 获取签名密钥的工具函数
function getSigningKey(header, callback) {
  cognitoClient.getSigningKey(header.kid, (err, key) => {
    const signingKey = key.getPublicKey();
    callback(null, signingKey);
  });
}

// 验证JWT的通用函数
function validateToken(token, callback) {
  jwt.verify(token, getSigningKey, {
    audience: '{你的Cognito客户端ID}', // 必须和用户池里配置的客户端ID一致
    issuer: 'https://cognito-idp.{你的AWS区域}.amazonaws.com/{你的用户池ID}',
    algorithms: ['RS256'] // Cognito固定用RS256非对称加密算法
  }, callback);
}

// 在接口中使用验证逻辑
app.post('/api/protected', (req, res) => {
  const authHeader = req.headers.authorization;
  
  // 检查令牌是否存在且格式正确
  if (!authHeader || !authHeader.startsWith('Bearer ')) {
    return res.status(401).json({ error: '未提供有效身份令牌' });
  }

  const token = authHeader.split(' ')[1];
  validateToken(token, (err, decodedUser) => {
    if (err) {
      return res.status(401).json({ error: '令牌无效或已过期' });
    }
    // 验证通过，decodedUser里包含用户的唯一ID(sub)、邮箱、自定义属性等信息
    res.status(200).json({ message: '身份验证成功', user: decodedUser });
  });
});

app.listen(3000, () => console.log('服务器启动在3000端口'));

直接验证JWT已经足够，但如果想减少自己维护验证逻辑的工作量，还有两个更优选择：

1. 用AWS SDK直接调用Cognito API验证 #

借助AWS SDK for JavaScript的CognitoIdentityServiceProvider，可以直接调用getUser接口，传入客户端的Access Token，Cognito会自动验证令牌有效性，并返回用户的最新信息（比如用户是否被禁用、属性是否更新）。代码示例：

const AWS = require('aws-sdk');
const express = require('express');
const app = express();

// 配置AWS区域
AWS.config.update({ region: '{你的AWS区域}' });
const cognitoISP = new AWS.CognitoIdentityServiceProvider();

app.post('/api/protected', async (req, res) => {
  const authHeader = req.headers.authorization;
  if (!authHeader || !authHeader.startsWith('Bearer ')) {
    return res.status(401).json({ error: '未提供有效身份令牌' });
  }

  const accessToken = authHeader.split(' ')[1];
  try {
    // 调用Cognito的getUser接口验证令牌并获取用户信息
    const userInfo = await cognitoISP.getUser({ AccessToken: accessToken }).promise();
    res.status(200).json({ message: '身份验证成功', user: userInfo });
  } catch (err) {
    console.error(err);
    res.status(401).json({ error: '令牌无效或用户状态异常' });
  }
});

这个方案的好处是不用自己处理JWT解析、公钥更新等细节，AWS SDK会帮你搞定，还能直接拿到用户的最新状态。

2. 封装验证中间件 #

把验证逻辑封装成Express中间件，这样所有需要身份验证的接口都能直接复用，不用重复写代码：

// 封装身份验证中间件
const authMiddleware = (req, res, next) => {
  const authHeader = req.headers.authorization;
  if (!authHeader || !authHeader.startsWith('Bearer ')) {
    return res.status(401).json({ error: '未提供有效身份令牌' });
  }

  const token = authHeader.split(' ')[1];
  validateToken(token, (err, decodedUser) => {
    if (err) {
      return res.status(401).json({ error: '令牌无效或已过期' });
    }
    // 将用户信息挂载到req对象上，后续接口可直接访问
    req.user = decodedUser;
    next();
  });
};

// 使用中间件保护接口
app.post('/api/secure-data', authMiddleware, (req, res) => {
  res.status(200).json({ message: '访问受保护数据成功', userId: req.user.sub });
});

• 令牌过期处理：Cognito的ID Token和Access Token默认有效期都是1小时，客户端需要用Refresh Token主动刷新令牌，避免用户频繁登录。
• 权限细化：如果需要更细粒度的权限控制，可以给Cognito用户池配置用户组（Groups），验证JWT后通过decodedUser['cognito:groups']判断用户是否有权限访问特定接口。
• 传输安全：一定要用HTTPS传输令牌，防止令牌被窃听或篡改；不要把敏感信息放在JWT的Payload里（Payload是Base64编码的，容易解码）。

内容的提问来源于stack exchange，提问作者kurrodu