AWS Amplify JS 升级Gen2后授权头缺失问题解决方案

问题背景

在使用AWS Amplify JS库开发React应用时，许多开发者会遇到从Gen1升级到Gen2版本后API请求中授权头缺失的问题。这个问题尤其常见于那些使用Cognito用户池作为身份验证机制，并通过API Gateway进行后端接口管理的应用场景。

问题现象

升级到Gen2版本后，开发者发现原先正常工作的API请求开始返回401未授权错误。通过检查网络请求发现，原本应该自动附加的Authorization头在请求中缺失，导致API Gateway上的Cognito授权器无法验证请求。

配置差异分析

在Gen1版本中，典型的Amplify配置如下：

Amplify.configure({
  Auth: {
    mandatorySignIn: true,
    region: config.cognito.REGION,
    userPoolId: config.cognito.USER_POOL_ID,
    identityPoolId: config.cognito.IDENTITY_POOL_ID,
    userPoolWebClientId: config.cognito.APP_CLIENT_ID,
  },
  API: {
    endpoints: [
      {
        name: "users",
        endpoint: config.apiGateway.URL,
        custom_header: async () => {
          return {
            Authorization: `${(await Auth.currentSession())
              .getAccessToken()
              .getJwtToken()}`,
          };
        },
      },
    ],
  },
});

而在Gen2版本中，配置方式发生了显著变化：

Amplify.configure({
  Auth: {
    Cognito: {
      identityPoolId: config.cognito.IDENTITY_POOL_ID,
      userPoolId: config.cognito.USER_POOL_ID,
      userPoolClientId: config.cognito.APP_CLIENT_ID,
      allowGuestAccess: false, // 替代mandatorySignIn
    }
  },
  API: {
    REST: {
      'users': {
          name: "users",
          endpoint: config.apiGateway.URL,
      },
    },
  },
}, {
  API: {
    REST: {
      headers: async () => {
        return {Authorization: `${(await fetchAuthSession()).tokens.idToken.toString()}`};
      },
    }
  }
});

关键变化点

1. 配置结构调整：Gen2版本将Auth配置移到了Cognito命名空间下，并使用allowGuestAccess替代了mandatorySignIn参数。

2. 头部配置位置：授权头的配置从API配置内部移到了第二个配置对象参数中，这是Gen2版本的一个重要变化。

3. 认证方式变化：从使用Auth.currentSession()获取会话改为使用fetchAuthSession()方法。

解决方案

1. 正确配置Amplify：按照上述Gen2版本的配置方式重构你的Amplify初始化代码。

2. API Gateway调整：移除API Gateway授权器中的授权范围(scope)配置。在Gen2版本中，不再需要aws.cognito.signin.user.admin等授权范围，仅需验证JWT的有效性即可。

3. 请求方式调整：确保API请求代码使用新的Gen2风格：

const apiName = "users";
const path = "/companies";
const restOperation = get({
  apiName: apiName, 
  path: path
});
const response = await restOperation.response;

常见问题排查

1. 401错误仍然存在：检查API Gateway的Cognito授权器配置，确保没有设置不必要的授权范围。

2. 授权头格式问题：确认fetchAuthSession()返回的token格式是否符合API Gateway的预期。

3. 跨域问题：确保API Gateway已配置正确的CORS设置，允许来自前端的请求。

总结

从Amplify Gen1升级到Gen2版本时，授权机制的变化是一个需要特别注意的环节。通过正确理解配置结构的变化、调整API Gateway的授权器设置，开发者可以顺利解决授权头缺失的问题。记住，Gen2版本在简化配置的同时，也带来了更清晰的职责分离和更灵活的扩展能力。