如何在 API 网关上使用自定义授权器？

Question

自定义授权
Lambda执行角色：完全访问Api网关和Lambda
令牌来源： method.request.header .Authorization
令牌验证：空白

将此自定义授权添加到 api 方法请求。授权人测试成功，但我请求 Postman 上的 api 然后 401。

{
    "message": "Unauthorized"
}

自定义授权方 Lambda

console.log('Loading function');

exports.handler = function(event, context, callback) {
    
    console.log("event:",JSON.stringify(event));    console.log("event:",JSON.stringify(context));
    console.log('Client token: ' + event.authorizationToken);
    console.log('Method ARN: ' + event.methodArn);
callback(null, {
    "principalId": "18",
    "policyDocument": {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Sid": "Stmt1459758003000",
                "Effect": "Allow",
                "Action": [
                    "execute-api:Invoke"
                ],
                "Resource": [
                    "arn:aws:execute-api:*"
                ]
            }
        ]
    }
});

}

邮递员代码：

    curl --request GET \
  --url {url} \
  --header 'authorization: Test Token' \
  --header 'cache-control: no-cache' \
  --header 'content-type: application/json' \
  --header 'postman-token: c9110a92-414e-e1aa-61fb-194758dace86'

解决方案
令牌来源：授权

Answer 1

截至今天 1 月 18 日，API 网关已更改。需要了解以下内容。

1. 如果方法的集成请求不是 lambda 代理。在创建自定义授权者（在 Authorizer 选项卡中）时，您应该将 Token Source 输入为“Authorization”，而不是“method.request.header.Authorization”。此外，在方法的“方法请求”选项卡（例如 GET）中，您应该为“授权”设置 HTTP 标头映射。
2. 如果方法的集成请求被代理，则不需要映射。所有的请求体+标头+参数+AWSextraStuff 在 lambda 的 event[] 对象中可用。因此不需要映射。

小心一些陷阱。 - 使用像'Authorization'这样的标准字符串（这是一个标准），你是否使用不同的字符串，改变每个地方。 - 传递给 lambda 时的授权令牌，对于没有代理的集成请求，作为 event['authorizationToken'] 而不是 event['Authorization'] - 如果您收到类似 Lambda Malform... 的错误，那是因为您使用的是 Lambda 代理，并且它需要特定格式的响应，您没有以 tha 格式发送数据。 - 如果您使用 Postman ，请切换到 'raw' 而不是 'pretty' 模式。

Answer 2

使用自定义 TOKEN 授权器调用 API

• 打开 Postman，选择 GET 方法并将 API 的 Invoke URL 粘贴到相邻的 URL 字段中。

添加自定义授权令牌标头并将值设置为允许。选择发送。

值得一读 - http://docs.aws.amazon.com/apigateway/latest/developerguide/use-custom-authorizer.html#call-api-with-api-gateway-custom-authorization

Answer 3

您不会通过 Postman 调用自定义授权者，这是 API 网关的工作。

每次调用受自定义授权方保护的端点时，API 网关都会检查给定授权标头的值是否存在于其策略缓存中。如果该值不存在，将调用您的自定义授权器来验证请求。

流程的简单表示：

Lambda Handler (handles a protected endpoint GET /users/{id})
    |
    | ------------ 
    |            |
    |     Custom Authorizer
    |          /
    |         / (if the request is not authorized yet)
    |        /
 Api Gateway 
    |
    |
    |
Request (with Authorization Header)

您只需将资源方法的授权设置为您的自定义授权者，并让 API 网关完成所有工作。