自定义授权方的 AWS API 网关 403 错误

Question

我正在使用 Claudia-api-builder 来创建和部署。 https://github.com/claudiajs/example-projects/tree/master/custom-authorizers

我的 AWS 自定义授权方如下所示：

let jwtDecode = require('jwt-decode');

var generatePolicy = function (authToken, methodArn) {
    'use strict';
    var tmp = methodArn.split(':'),
    apiGatewayArnTmp = tmp[5].split('/'),
    awsAccountId = tmp[4],
    region = tmp[3],
    restApiId = apiGatewayArnTmp[0],
    stage = apiGatewayArnTmp[1];
    let group = jwtDecode(authToken)["cognito:groups"];

if (group[0] === 'Admin') {
        return {
            'principalId': authToken.split('-')[0],
            'policyDocument': {
                'Version': '2012-10-17',
                'Statement': [{
                    'Effect': 'Allow',
                    'Action': [
                        'execute-api:Invoke'
                    ],
                    'Resource': [
                        'arn:aws:execute-api:' + region + ':' + awsAccountId + ':' + restApiId + '/' + stage + '/GET/citizens',
                        'arn:aws:execute-api:' + region + ':' + awsAccountId + ':' + restApiId + '/' + stage + '/GET/citizens/{citizenId}/personal-details'
                    ]
                }]
            }
        };
    }


exports.auth = function testAuth(event, context, callback) {
    'use strict';
    console.log('got event', event);

    /*
     * {
     * "type":"TOKEN",
     * "authorizationToken":"<Incoming bearer token>",
     * "methodArn":"arn:aws:execute-api:<Region id>:<Account id>:<API id>/<Stage>/<Method>/<Resource path>"
     * }
     */
    if (event && event.authorizationToken && event.methodArn) {
        callback(null, generatePolicy(event.authorizationToken, event.methodArn));
    } else {
        callback('Unauthorized');
    }
};

资源中的第一个 API 工作正常，但是当我调用第二个 API 时，我：

'arn:aws:execute-api:' + region + ':' + awsAccountId + ':' + restApiId + '/' + stage + '/GET/citizens/{citizenId}/personal-details'

它给我 403 Forbidden ：

{
    "Message": "User is not authorized to access this resource"
}

在我的例子中，授权缓存也被禁用

这个问题有什么解决办法吗？

Answer 1

该资源不应是 API 网关方法的路径。

实际上它应该是资源的Arn。 您可以通过执行以下操作从 AWS 控制台获取此信息：

• 打开API网关
• Select 您的 API 网关
• 单击Resources选项
• 找到您的资源（这将是citizens/{citizenId}/personal-details下的GET方法）。 点击它。
• 将为您提供一个Arn 。

当使用基于路径的参数时，任何参数都被*替换，所以这将变为下面。

'arn:aws:execute-api:' + region + ':' + awsAccountId + ':' + restApiId + '/' + stage + '/GET/citizens/*/personal-details'

Answer 2

我的解决方案是制作一个通配符资源，而不是仅仅将event.methodArn传入generateAllow()

通配符资源如下所示，然后将其传递给generateAllow()

var tmp = event.methodArn.split(':');
var apiGatewayArnTmp = tmp[5].split('/');
var resource = tmp[0] + ':' + tmp[1] + ':' + tmp[2] + ':' + tmp[3] + ':' + tmp[4] + ':' + apiGatewayArnTmp[0] + '/*/*';
generatePolicy("1", 'Allow', resource)

可以在此处找到更深入的解释https://aws.amazon.com/premiumsupport/knowledge-center/api-gateway-lambda-authorization-errors/