基于组权限的AWS AppSync GraphQL订阅扩展方案咨询

首先，你已经有成熟的Lambda授权层处理查询/变更，扩展到订阅的核心是在事件推送阶段匹配用户所属组与事件的groupId，同时尽量复用现有逻辑、避免UI重构。以下是几个适配你需求的方案：

方案1：扩展Lambda授权+AppSync动态订阅过滤（推荐） #

这个方案复用你现有的组权限逻辑，利用AppSync的订阅上下文和过滤能力实现精准推送，完全兼容Amplify原生订阅，不需要重构UI。

步骤拆解： #

1. 扩展Lambda授权器支持订阅操作
   你的现有Lambda授权器已经能解析用户身份并获取所属组，现在只需新增对订阅操作的支持：

   • 当授权请求的operation是subscription时，无需直接拒绝/允许，而是将用户所属的所有groupId列表注入到AppSync上下文（比如通过context.identity.resolverContext.groups）。
   • 示例授权器代码片段：

     exports.handler = async (event) => {
       const user = await getUserFromEvent(event); // 你的现有逻辑，获取用户身份
       const userGroups = await getUserGroups(user.id); // 从你的组表查询用户所属groupId列表
       
       return {
         principalId: user.id,
         policyDocument: {
           Version: '2012-10-17',
           Statement: [{
             Action: 'appsync:Subscribe',
             Effect: 'Allow',
             Resource: event.resourceArn
           }]
         },
         resolverContext: { groups: userGroups } // 注入组列表到上下文
       };
     };
     

2. 修改订阅GraphQL定义与解析器

   • 保持订阅的定义简洁，不需要客户端传groupId参数：

     type Subscription {
       onItemUpdated: Item
         @aws_subscribe(mutations: ["updateItem"])
     }
     

   • 在AppSync的订阅解析器中，利用上下文里的组列表设置动态过滤条件：

     // 订阅解析器代码
     export function request(ctx) {
       return {
         payload: {},
         filter: {
           groupId: { in: ctx.identity.resolverContext.groups } // 只推送用户所属组的事件
         }
       };
     }
     export function response(ctx) {
       return ctx.result;
     }
     

3. 处理动态组更新
   当用户的组关系变化时，现有订阅连接是基于建立时的组列表，所以需要触发重新订阅：

   • 在你处理组添加/移除的mutation完成后，在客户端调用API.unsubscribe()再重新API.subscribe()对应的订阅。Amplify的订阅API是声明式的，只需在现有业务逻辑后加几行代码，完全不需要重构UI组件。

方案2：基于DynamoDB Stream的Lambda事件转发 #

如果需要更灵活的控制（比如实时更新用户组无需重新订阅），可以绕过AppSync原生订阅，自己处理事件推送：

步骤拆解： #

1. 监听DynamoDB Stream
   给你的表开启DynamoDB Stream，触发Lambda函数处理变更事件。
2. Lambda中过滤并推送事件
   • 当收到Stream事件时，提取事件的groupId。
   • 查询该groupId对应的所有用户列表（从你的组表）。
   • 使用Amplify PubSub（基于IoT Core）向这些用户推送事件：

     // Stream处理Lambda代码片段
     const AWS = require('aws-sdk');
     const pubsub = new AWS.IotData({ endpoint: '你的IoT端点' });
     
     exports.handler = async (event) => {
       const record = event.Records[0];
       const item = AWS.DynamoDB.Converter.unmarshall(record.dynamodb.NewImage);
       const groupUsers = await getUsersInGroup(item.groupId); // 查询组内用户
       
       for (const user of groupUsers) {
         await pubsub.publish({
           topic: `group/${item.groupId}/updates`,
           payload: JSON.stringify(item),
           qos: 1
         }).promise();
       }
     };
     

3. 客户端订阅对应主题
   在客户端使用Amplify PubSub订阅用户所属组的主题，同样不需要重构UI，只需初始化时订阅所有用户组的主题，组变化时动态添加/移除订阅：

   // 客户端代码
   import { PubSub } from 'aws-amplify';
   
   // 初始化时订阅所有用户组
   async function initSubscriptions(userGroups) {
     userGroups.forEach(groupId => {
       PubSub.subscribe(`group/${groupId}/updates`).subscribe({
         next: (data) => { /* 处理事件 */ },
       });
     });
   }
   

关键注意事项 #

• 性能优化：如果查询用户组的频率高，建议将用户-组映射缓存到Redis或Cognito自定义属性中，减少对组表的查询压力。
• 权限安全：无论用哪种方案，都要确保只有授权用户能订阅对应的组事件，避免越权接收。
• 动态组同步：方案1需要用户重新订阅来获取新组的事件，方案2可以实时推送，但需要维护用户-组的实时映射。

内容的提问来源于stack exchange，提问作者LeanTide