如何基于@feathersjs/authentication实现AWS Cognito认证集成？

我明白你想兼顾AWS Cognito的合规JWT能力和FeathersJS认证系统的用户管理、错误处理特性，之前用独立中间件的方式确实没法深度整合。下面是一套可行的方案，通过自定义Feathers认证策略来实现：

1. 自定义Cognito认证策略 #

Feathers的认证系统支持扩展自定义策略，我们可以创建一个继承自AuthenticationBaseStrategy的类，把Cognito JWT验证逻辑和Feathers的用户关联、错误处理结合起来：

首先安装依赖：

npm install jwks-rsa jsonwebtoken

然后创建策略文件（比如src/authentication/cognito-strategy.ts）：

import { AuthenticationBaseStrategy, AuthenticationResult, AuthenticationService } from '@feathersjs/authentication';
import { Application } from '../declarations';
import jwksClient from 'jwks-rsa';
import jwt from 'jsonwebtoken';

export class CognitoStrategy extends AuthenticationBaseStrategy {
  private jwksClient: jwksClient.JwksClient;
  private userPoolId: string;
  private clientId: string;

  constructor(app: Application) {
    super();
    const authConfig = app.get('authentication').cognito;
    this.userPoolId = authConfig.userPoolId;
    this.clientId = authConfig.clientId;
    
    // 初始化JWKS客户端，用于离线获取验证密钥
    this.jwksClient = jwksClient({
      jwksUri: `https://cognito-idp.${authConfig.region}.amazonaws.com/${this.userPoolId}/.well-known/jwks.json`
    });
  }

  async authenticate(authentication: any, params: any): Promise<AuthenticationResult> {
    const { accessToken } = authentication;
    
    try {
      // 验证JWT签名并解析 payload
      const decoded = jwt.verify(accessToken, (header, callback) => {
        this.jwksClient.getSigningKey(header.kid, (err, key) => {
          if (err) return callback(err);
          const signingKey = key.getPublicKey();
          callback(null, signingKey);
        });
      }, {
        audience: this.clientId,
        issuer: `https://cognito-idp.${this.app.get('authentication').cognito.region}.amazonaws.com/${this.userPoolId}`
      }) as any;

      // 关联Feathers用户：根据Cognito的sub查询或创建用户
      const userService = this.app.service('users');
      let user = await userService.find({
        query: { cognitoSub: decoded.sub },
        paginate: false
      }).then(results => results[0]);

      if (!user) {
        // 首次登录时自动创建Feathers用户
        user = await userService.create({
          cognitoSub: decoded.sub,
          email: decoded.email,
          name: decoded.name
        });
      }

      // 返回符合Feathers认证格式的结果，包含用户信息
      return {
        authentication: {
          strategy: 'cognito',
          accessToken // 可选择保留Cognito Token，或生成Feathers内部JWT
        },
        user
      };
    } catch (error) {
      // 利用Feathers的错误处理机制抛出标准化错误
      throw this.authentication.handleError(error, {
        strategy: 'cognito'
      });
    }
  }
}

2. 配置Feathers认证服务 #

在src/authentication.ts中注册自定义策略，并配置Cognito参数：

import { AuthenticationService, JWTStrategy } from '@feathersjs/authentication';
import { expressOauth } from '@feathersjs/authentication-oauth';
import { CognitoStrategy } from './authentication/cognito-strategy';
import type { Application } from './declarations';

export const authentication = (app: Application) => {
  const authService = new AuthenticationService(app);

  authService.register('jwt', new JWTStrategy());
  // 注册自定义Cognito策略
  authService.register('cognito', new CognitoStrategy(app));

  app.use('/authentication', authService);
  app.configure(expressOauth());
};

然后在config/default.json中添加Cognito配置：

{
  "authentication": {
    "cognito": {
      "userPoolId": "你的Cognito用户池ID",
      "clientId": "你的Cognito客户端ID",
      "region": "你的AWS区域"
    },
    "strategies": [
      "jwt",
      "cognito" // 将Cognito策略加入可用策略列表
    ],
    // 其他认证配置...
  }
}

3. 前端集成调整 #

前端获取Cognito返回的accessToken后，调用Feathers认证接口时指定cognito策略：

// 示例：前端认证请求
const response = await app.authenticate({
  strategy: 'cognito',
  accessToken: '从Cognito获取的AccessToken'
});

关键优势说明 #

• 深度集成：完全融入Feathers的认证生命周期，能直接利用Feathers的用户查询、权限控制（hooks）、错误标准化等特性
• 离线验证：通过JWKS密钥缓存实现JWT签名的离线验证，无需每次调用Cognito API
• 用户同步：自动关联/创建Feathers用户记录，保持用户数据在Feathers系统内的一致性

这样就解决了之前用独立中间件无法深度集成的问题，同时保留了Cognito的合规JWT能力和Feathers的核心特性。

内容的提问来源于stack exchange，提问作者Danielle Neri