将 api 网关与 aws cognito 一起用于受保护的路由

Question

因此，我将使用 AWS API 网关建立一个面向公众的 API，在那里我将拥有后端 lambda 资源来处理每条路线的逻辑（分离的微服务）。

我应该在 JWT 中存储什么？ 目前，我已禁用所有读取属性，因此令牌仅包含cognito:username ，在我的数据库中，我会将其存储为每个用户的用户 ID。 我的理解是，一旦正确生成了 JWT，我就可以使用 Cognito 作为 API 网关的授权方，然后一旦在 lambda 层收到令牌 JWT 详细信息，我需要做的就是使用cognito:username键进行查找我数据库中的用户配置文件。

我应该在后端实施任何其他检查，还是依靠 API 网关来传递经过身份验证的请求是否安全？

谢谢！

Answer 1

cognito API 网关授权方将仅检查令牌是否未过期以及它是否属于正确的用户池。 但是由于您将从令牌本身中提取用户名，所以您应该是安全的。 只需确保配置 API 网关以将授权 header 传递给 lambda，默认情况下不会这样做。