使用 AWS Cognito 保护 REST API

Question

我正在探索如何保护基于 REST 的 API 被跨各种平台（包括移动、Web 和 OTT 应用程序）的最终用户应用程序调用。

应用程序有自己的可选登录过程，但用户也可以匿名使用应用程序。

我们是一家 AWS 商店，我正在寻找使用 Cognito 和 Lambda@Edge 的更通用的解决方案，可能使用 JWT 令牌。

但是，我无法将用于从 Cognito 发布 JWT 令牌的选项拼凑起来，尤其是考虑到我们不需要任何形式的登录。是否有使用某种形式的旋转秘密的选项？还有其他选择吗？

Answer 1

在 API Gateway 中，您可以使用 cognito 令牌保护您的 API。

• 创建授权方法并选择您想要的用户池 使用。
• 将此方法附加到您要保护的 API。
• 现在您需要在每次调用的标头中传递 ID TOKEN。
• 如果令牌不正确或过期，API 调用将失败。

您可以阅读更多here。