移动应用程序的 API 密钥或 Cognito 或两者

Question

我有一个适用于 iOS 和 Android 的移动应用程序，但现在在配置 API 时，我不明白什么时候应该使用 Cognito 来授权请求​​，什么时候应该使用 API 密钥，或者我必须同时使用它们，顺便说一句，每当我需要获取/发送用户数据时，我都会在请求正文中附加用户 ID。

这是结构的样子

AWS Structure

Answer 1

我会使用 Cognito：这样您就可以信任转发给您的 Lambda 函数的用户标识符。即使您在有效负载中发送userId，这完全是由用户/客户端构建的，恶意客户端可以发送任何值，从而带来安全风险。还需要考虑 API 密钥的安全性。

顺便说一下，您的私有 Lambda 不必位于公共子网中（根据您所附的图表）。