如何为 CORS 预检请求绕过 AWS API Gateway 代理资源上的 Cognito 授权方？

Question

我有一个非常简单的 API Gateway 资源配置：

ANY 方法指向运行 express.js 的 node.js lambda。 Express.js 然后负责路由、CORS 请求等。API 将由单页 javascript 应用程序使用。

几乎所有端点都需要授权，所以我在ANY方法中添加了Cognito授权器。但是，此设置会破坏 CORS 预检请求，因为预检请求不能携带 Authorization 标头。

1. 如何使预检请求绕过Cognito 授权方？
2. （可选）如何使一些选定的端点绕过Cognito 授权方（用于 GET）？
3. 除了必须在 API Gateway 资源设计器中复制我的所有路由之外，是否有任何解决方案？

我能想到的唯一解决方案是使用 Application Load Balancer 而不是 API Gateway，并在 lambda 函数中编写自己的 Cognito 授权器。

另一种解决方案可能是使用 cognito-express 代替 AWS 提供的 Cognito 授权方。不过，出于安全原因，我自然更喜欢 AWS 提供的授权方。

Answer 1

您不能将ANY 方法与授权方一起使用，并期望 OPTIONS 与 CORS 预检兼容。只需在资源上创建您需要的各个方法（GET、POST 等...）让它继承授权设置，然后创建 OPTIONS 方法并将授权设置显式设置为无。