已登录状态下iOS端使用AWS生成SDK调用API报未授权错误

核心触发逻辑根因 #

• 出现权限错误的本质是手动构建的AWSCognitoCredentialsProvider没有和AWSMobileClient的登录状态生命周期绑定，全程走了未认证凭证的缓存复用路径
• 异常完整触发链路完全匹配你观察到的现象：
  1. App启动AWSMobileClient初始化完成后，初始状态为signedOut，SDK会自动拉取一次Cognito未认证身份的临时凭证，用于支持未登录状态下的公共接口访问
  2. 只要在登录完成后、调用鉴权接口前先走了一次公共接口调用，这次调用就会复用App启动时缓存的未认证临时凭证；而你手动创建的AWSCognitoCredentialsProvider实例，默认会复用本地缓存的这份未认证凭证，不会感知用户已经完成登录的状态变更
  3. 后续你用这份未认证凭证构建全局AWSServiceConfiguration发起鉴权API调用时，请求携带的身份自然是未认证IAM角色，因为没有关联已认证用户的会话，所以无法获取execute-api:Invoke的目标API访问权限
• 你记录的两个特殊表现，都是这个缓存复用逻辑导致的：
  • 重启App后不提前调用公共接口就可正常访问鉴权接口：此时没有提前缓存未认证凭证，用户登录后CredentialsProvider会直接拉取已认证身份的临时凭证，绑定已认证IAM角色
  • 登录后不先调用公共接口就全流程正常：没有触发未认证凭证的缓存复用路径，CredentialsProvider能正常拿到关联已认证角色的有效凭证

具体代码实现缺陷 #

• 核心实现范式错误：手动硬编码区域、身份池ID创建独立的AWSCognitoCredentialsProvider，完全绕开了AWSMobileClient自带的凭证生命周期管理能力
  • AWSMobileClient在用户登录、登出状态变更时，会自动同步更新内部绑定的凭证提供者的身份状态，自动切换对应已认证/未认证身份的临时凭证；你手动新建的独立CredentialsProvider实例，完全不会接收到这些状态变更通知，永远停留在首次初始化时拿到的未认证凭证状态
• 全局配置覆盖逻辑存在漏洞：手动把带未认证凭证的AWSServiceConfiguration设为AWSServiceManager的默认配置时，既没有校验当前凭证关联的身份类型，也没有在用户登录成功后强制刷新本地凭证缓存
• 额外触发了SDK的服务实例缓存坑：API Gateway生成的iOS Swift SDK会在首次初始化时缓存服务实例，只要在未登录状态下用未认证凭证初始化过一次SDK的服务客户端，后续即使更新了全局默认配置，SDK也不会重新初始化客户端，会持续复用旧的未认证凭证发起请求

正确实现的调整方向 #

• 移除所有手动创建AWSCognitoCredentialsProvider、手动拼接AWSServiceConfiguration的冗余代码
• 直接复用AWSMobileClient初始化完成后已经配置好的全局服务配置：AWSMobileClient初始化时会自动读取项目配置文件里的身份池、区域参数，把自身的登录状态和凭证生命周期深度绑定，不需要手动重复创建实例
• 在用户登录流程完成、获取到登录成功回调后，手动调用一次AWSMobileClient.default().getCredentials()，强制触发凭证刷新，清除本地缓存的未认证临时凭证
• 所有API调用统一走AWSMobileClient管理的SDK服务客户端，不要在未登录状态下提前创建独立的API Gateway SDK服务实例，避免触发未认证凭证的缓存路径

内容的提问来源于stack exchange，提问作者matteoh