用 AWS Amplify Gen2 构建并部署全栈…

适用场景：用户提到 Amplify Gen2、项目含 amplify/ 或 amplify_outputs、代码导入 @aws-amplify 包，或需用 defineBackend/defineAuth/defineData/defineStorage/npx ampx 时。

适用场景

解决思路

1. 先识别是否 Amplify Gen2：用户提到 Amplify Gen2；项目有 amplify/ 目录或 amplify_outputs；代码导入 @aws-amplify 包；询问 defineBackend、defineAuth、defineData、defineStorage 或 npx ampx。所有 Amplify Gen2 主题都应使用本技能，即使自认为知道，也要用其中验证过的版本特定模式避免常见错误。
2. Step 0：读取核心参考。Web（React、Next.js、Vue、Angular、React Native）必须先读 references/core-web.md；Mobile（Flutter、Swift、Android）必须先读 references/core-mobile.md；backend only 跳过 Step 1。
3. Step 1：按任务类型路由：创建新项目 -> references/scaffolding.md，然后 Step2 和/或 Step3；添加或修改后端功能 -> Step2；连接前端到已有后端 -> Step3；部署应用 -> references/deployment.md。
4. Step 2：为每个后端功能读取对应参考：Authentication -> references/auth-backend.md；Data Models -> references/data-backend.md；File Storage -> references/storage-backend.md；Functions & API -> references/functions-and-api.md；AI Features -> references/ai.md；Geo、PubSub、CDK -> references/advanced-features.md。各文件自包含，只加载所需。添加或修改功能都路由到同一文件。
5. Step 3：配置后端资源后连接前端。Web 平台按功能读取 references/auth-web.md、references/data-web.md、references/storage-web.md；Mobile 平台读取 references/auth-mobile.md、references/data-mobile.md、references/storage-mobile.md。AI 和 Functions 前端模式已包含在 references/ai.md 与 references/functions-and-api.md，不拆分 web/mobile。
6. 未指定框架时：Web 应默认 React（Vite）并解释选择；Mobile 必须询问 Flutter、Swift、Android 或 React Native，没有通用移动默认；若只说 “build an app” 未说明 web/mobile，必须先问；若只要求后端变更且未提前端框架，完全跳过前端集成步骤。
7. 未指定工具或策略时：包管理器应默认 npm，除非用户指定 yarn 或 pnpm；语言应默认 TypeScript，Gen2 后端仅支持 TypeScript，前端应遵循项目现有语言；Next.js 应默认 App Router，除非用户指定 Pages Router；React Native 询问使用 Expo 还是 bare React Native CLI；Auth 必须询问登录方式（email/password、social login、SAML、passwordless 等），不要假设默认；数据授权默认 publicApiKey（allow.publicApiKey()），这是 starter template 默认，添加 auth 后切换为 owner-based（allow.owner()）并设 defaultAuthorizationMode: 'userPool'。
8. 按 Amplify Gen2 架构组织代码：所有后端资源用 TypeScript code-first 定义在 amplify/ 下；主配置 amplify/backend.ts 通过 defineBackend() 导入并组合所有资源；资源文件为 amplify/auth/resource.ts、amplify/data/resource.ts、amplify/storage/resource.ts、amplify/functions/<name>/resource.ts；生成输出 amplify_outputs.json 由前端 Amplify.configure() 使用，必须 gitignored，通过 npx ampx sandbox（本地开发）或 npx ampx pipeline-deploy（CI/CD）生成，绝不提交。
9. 使用目录结构：project-root/ 下有 amplify/（backend.ts、auth/resource.ts、data/resource.ts、storage/resource.ts、functions/my-func/resource.ts、functions/my-func/handler.ts）、src/ 前端代码、amplify_outputs.json（生成，不要编辑或提交，已 gitignored）、package.json。
10. 使用关键包：@aws-amplify/backend 提供 defineAuth、defineData、defineStorage、defineFunction、defineBackend；aws-amplify 提供前端 Amplify.configure()、generateClient()、auth/data/storage APIs；@aws-amplify/ui-react 提供 <Authenticator>、<StorageBrowser>；@aws-amplify/ui-react-ai 提供 <AIConversation>、useAIConversation。
11. 需要 AWS 文档时（高级 CDK 构造、服务限制、提供商特定 auth 配置）：若 AWS 文档工具可用（如 AWS MCP），应使用它们搜索并获取相关文档页；若不可用，必须回退到 web search 或 aws CLI 进行资源验证。Amplify Gen2 是 code-first，主要工作流是编辑 TypeScript 文件并运行 npx ampx 命令；AWS MCP 工具对部署后验证有用但非必需。
12. 安全：所有凭证和 API key 使用 secret()，绝不硬编码或对敏感值使用普通环境变量。
13. 安全：仔细审查 allow.guest() 暴露面；guest access 默认启用，会授予未认证用户访问 IAM 授权资源。
14. 安全：将 IAM 策略限定到具体资源 ARN；生产环境避免 resources: ['*']。
15. 安全：绝不记录 secrets，也不要将其包含在错误消息中。
16. 安全：为 Amplify 部署资源启用 CloudTrail 和 CloudWatch alarms 监控；在 S3、AppSync、API Gateway 上启用 access logging。
17. 安全：为 Web 应用配置安全头，通过 amplify.yml 的 customHeaders 设置 CSP、HSTS、X-Frame-Options、X-Content-Type-Options。
18. 安全：为面向公网的 AppSync API 和 API Gateway endpoints 附加 AWS WAF，实现纵深防御。
19. 安全：在 API Gateway 和 AppSync APIs 上启用 throttling 和 rate limiting 防止滥用。
20. 安全：CI/CD pipelines 和 Lambda execution roles 使用带临时凭证的 IAM roles，绝不使用长期访问密钥。
21. 安全：当 CloudWatch Logs groups 可能包含 PII、tokens 或 secrets 时，用 KMS (aws:kms) 加密；启用日志保留策略。
22. 安全：启用 AppSync schema validation 和 API Gateway request validators，在边缘拒绝格式错误输入。
23. 安全：为 Amplify Hosting 自定义域使用 ACM-managed TLS certificates；在部署配置中通过 customDomain 配置。
24. 文档链接：所有文档链接默认使用 react 作为平台 slug；可将 URL 中的 /react/ 替换为目标框架：React=react、Next.js=nextjs、Vue=vue、Angular=angular、React Native=react-native、Flutter=flutter、Swift=swift、Android=android。可查阅 Amplify Docs for LLMs https://docs.amplify.aws/ai/llms.txt、Amplify Docs https://docs.amplify.aws/、Gen2 Docs https://docs.amplify.aws/react/、Getting Started https://docs.amplify.aws/react/start/、Quickstart https://docs.amplify.aws/react/start/quickstart/、Account Setup https://docs.amplify.aws/react/start/account-setup/、How Amplify Works https://docs.amplify.aws/react/how-amplify-works/、Core Concepts https://docs.amplify.aws/react/how-amplify-works/concepts/、Build a Backend https://docs.amplify.aws/react/build-a-backend/、Deploy and Host https://docs.amplify.aws/react/deploy-and-host/、Troubleshooting https://docs.amplify.aws/react/build-a-backend/troubleshooting/、CLI Commands https://docs.amplify.aws/react/reference/cli-commands/、Amplify Outputs https://docs.amplify.aws/react/reference/amplify_outputs/、Project Structure https://docs.amplify.aws/react/reference/project-structure/、Amplify UI https://ui.docs.amplify.aws/。

适用边界 · 注意事项

• Amplify Gen1（amplify CLI v6）不适用，应使用 Gen1 对应方案。
• 独立 SAM/CDK 且没有 Amplify 不适用（用 aws-serverless）。
• 直接使用 Bedrock 而没有 Amplify AI Kit 不适用（用 bedrock）。