IAM权限限定的DynamoDB表扫描机制技术问询

好问题！这确实是直接影响DynamoDB成本与效率的核心细节，结合你给出的IAM策略，我来给你明确说明：

核心结论 #

当你使用ForAllValues:StringEquals结合dynamodb:LeadingKeys与Cognito用户sub作为条件时，Scan操作会直接仅扫描用户自身的记录，而非先扫全表再过滤。

具体逻辑解释 #

dynamodb:LeadingKeys这个IAM条件是和DynamoDB的分区键（Partition Key）深度绑定的：

• 它会在请求执行的前置阶段就对访问范围做限制——IAM会验证请求中要访问的分区键值是否等于当前认证用户的${cognito-identity.amazonaws.com:sub}。
• 对应到Scan操作时，DynamoDB只会遍历分区键值匹配用户sub的数据分片，不会去扫描全表的所有分片。

这意味着你的Scan操作效率和扫描用户自身少量记录的效率一致，完全不会产生全表扫描的高额成本。

关键前提 #

要确保这个逻辑生效，你的DynamoDB表的分区键必须是存储用户sub的字段——因为dynamodb:LeadingKeys对应的就是分区键的取值范围，只有分区键和用户sub绑定，才能精准限定扫描范围。

如果你当前的表结构分区键不是用户sub，那这个策略的效果会打折扣，甚至无法实现预期的用户隔离，这时候需要调整表的分区键设计。

内容的提问来源于stack exchange，提问作者Harry