Lambda Cognito 用户池授权方 - 我可以自动获取自定义用户属性吗？

Question

我正在使用 Lambda 函数，通过 API Gateway 使用 Cognito 用户池授权器执行。

我知道我可以从event.requestContext.authorizer.claims 获取“标准”用户属性（如sub、email、cognito:username 等）。

但这不包括自定义用户属性（如custom:myAttribute）。

我知道我可以通过adminGetUser 获取它们，这可行，但我想知道我是否可以保存此调用并以某种方式在event 中自动获取这些自定义属性？

Answer 1

您是否已查看此文档以了解自定义声明？ https://docs.aws.amazon.com/apigateway/latest/developerguide/apigateway-enable-cognito-user-pool.html。 您需要以下列方式为自定义属性定义上下文：

{
    "context" : {
        "role" : "$context.authorizer.claims['custom:myAttribute']"
    }
}

Answer 2

将自定义属性添加到 Cognito 用户池并为用户分配一个值后，它不会出现在 requestContext.authorizer.claims 集合中的原因有几个。

首先也是最明显的一点是，您需要通过您用来生成身份验证的 ID 令牌的应用客户端使自定义属性可读。如果您使用的是 AWS 控制台，请导航至 App Clients -> Show Details -> Set attribute read and write permissions，然后勾选您希望对您的 Lambda 可见的属性。

即使您已完成第一步，您的属性未出现的第二个原因是用户的声明已编码在您生成的 ID 令牌中。这意味着如果您使用在使属性可读之前创建的 ID 令牌，您仍然不会看到它们。解决方案是为您的用户生成一个新的 ID 令牌，此时您应该会在 Lambda 的请求上下文中看到这些属性。