AWS新手：Cognito凭证无法获取‘authenticated id’，无Lambda架构求助

作为AWS Cognito的老玩家，我来帮你捋捋这个问题——这个报错本质上是你的前端代码没正确拿到已认证用户的有效身份凭证，导致DynamoDB不认你的请求。结合你之前的成功经验（S3+Cognito+Lambda），咱们一步步排查：

1. 先确认用户真的完成了完整认证流程 #

你之前用API Gateway的时候，可能是后端帮你处理了凭证传递，但前端直接调用DynamoDB，必须确保用户已经走完Cognito的登录流程，并且当前会话是有效的。别只初始化cognitoUser就完事，一定要通过getSession()验证会话状态：

var cognitoUser = userPool.getCurrentUser();

if (cognitoUser) {
  cognitoUser.getSession((err, session) => {
    if (err) {
      console.error("会话获取失败:", err);
      return;
    }

    // 核心：只有会话有效，才能生成合法凭证
    if (!session.isValid()) {
      console.log("会话已过期，请重新登录");
      // 这里可以引导用户跳转到登录页
      return;
    }

    // 到这一步，才初始化Cognito身份凭证
    AWS.config.credentials = new AWS.CognitoIdentityCredentials({
      IdentityPoolId: "你的身份池ID", // 注意是Identity Pool，不是User Pool
      Logins: {
        // 这个格式必须严格匹配：cognito-idp.<区域>.amazonaws.com/<用户池ID>
        "cognito-idp.us-east-1.amazonaws.com/us-east-1_XXXXXXXXX": session.getIdToken().getJwtToken()
      }
    });

    // 刷新凭证，确保能拿到有效的临时IAM凭证
    AWS.config.credentials.refresh((refreshErr) => {
      if (refreshErr) {
        console.error("凭证刷新失败:", refreshErr);
      } else {
        // 现在可以初始化DynamoDB客户端了
        const dynamodb = new AWS.DynamoDB();
        // 比如执行一个查询测试
        dynamodb.getItem({
          TableName: "你的表名",
          Key: { "id": { S: "test-id" } }
        }, (dbErr, data) => {
          if (dbErr) console.error(dbErr);
          else console.log("查询成功:", data);
        });
      }
    });
  });
} else {
  console.log("用户未登录，请先完成认证");
}

2. 检查身份池（Identity Pool）的关键配置 #

这是很多初学者踩坑的地方：

• 关联用户池：在身份池的“认证提供者”里，必须添加你的Cognito用户池，并且填写正确的用户池ID和应用客户端ID
• 认证角色权限：身份池给已认证用户分配的IAM角色，必须有DynamoDB的操作权限（比如dynamodb:GetItem、dynamodb:PutItem）。可以给角色附加一个自定义政策，比如：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "dynamodb:GetItem",
          "dynamodb:PutItem"
        ],
        "Resource": "arn:aws:dynamodb:<区域>:<账号ID>:table/<你的表名>"
      }
    ]
  }
  

• 禁用客户端密钥：你的Cognito用户池应用客户端，一定不要勾选“生成客户端密钥”——浏览器端JS无法安全存储密钥，会导致认证失败

3. 排查常见细节问题 #

• 不要混淆ID：用户池ID（us-east-1_XXXXXX）和身份池ID（us-east-1:XXXX-XXXX-XXXX）是完全不同的，别填反了
• 区域一致性：所有资源（用户池、身份池、DynamoDB）的区域要统一，比如都用us-east-1，不然跨区域会有凭证问题
• CORS配置：如果浏览器报CORS错误，要确保DynamoDB的CORS允许你的前端域名访问，或者在IAM政策里允许对应的OPTIONS请求

按照这个流程走，应该能解决你的凭证问题。如果还有问题，可以再检查会话的idToken是否有效（可以用JWT解码工具看看里面的内容）。

内容的提问来源于stack exchange，提问作者Chibi