自定义授权方的 AWS API 网关 403 错误
AWS API gateway 403 error for Custom Authorizer
我正在使用 Claudia-api-builder 来创建和部署。
https://github.com/claudiajs/example-projects/tree/master/custom-authorizers
我的 AWS 自定义授权方如下所示:
let jwtDecode = require('jwt-decode');
var generatePolicy = function (authToken, methodArn) {
'use strict';
var tmp = methodArn.split(':'),
apiGatewayArnTmp = tmp[5].split('/'),
awsAccountId = tmp[4],
region = tmp[3],
restApiId = apiGatewayArnTmp[0],
stage = apiGatewayArnTmp[1];
let group = jwtDecode(authToken)["cognito:groups"];
if (group[0] === 'Admin') {
return {
'principalId': authToken.split('-')[0],
'policyDocument': {
'Version': '2012-10-17',
'Statement': [{
'Effect': 'Allow',
'Action': [
'execute-api:Invoke'
],
'Resource': [
'arn:aws:execute-api:' + region + ':' + awsAccountId + ':' + restApiId + '/' + stage + '/GET/citizens',
'arn:aws:execute-api:' + region + ':' + awsAccountId + ':' + restApiId + '/' + stage + '/GET/citizens/{citizenId}/personal-details'
]
}]
}
};
}
exports.auth = function testAuth(event, context, callback) {
'use strict';
console.log('got event', event);
/*
* {
* "type":"TOKEN",
* "authorizationToken":"<Incoming bearer token>",
* "methodArn":"arn:aws:execute-api:<Region id>:<Account id>:<API id>/<Stage>/<Method>/<Resource path>"
* }
*/
if (event && event.authorizationToken && event.methodArn) {
callback(null, generatePolicy(event.authorizationToken, event.methodArn));
} else {
callback('Unauthorized');
}
};
资源中的第一个 API 工作正常,但是当我调用第二个 API i:e :
'arn:aws:execute-api:' + region + ':' + awsAccountId + ':' + restApiId + '/' + stage + '/GET/citizens/{citizenId}/personal-details'
它给我 403 禁止访问:
{
"Message": "User is not authorized to access this resource"
}
在我的例子中,授权缓存也被禁用
这个问题有什么解决方案吗?
资源不应是API网关方法的路径。
其实应该是资源的Arn。您可以通过执行以下操作从 AWS 控制台获取此信息:
- 打开API网关
- Select 你的 API 网关
- 单击
Resources
选项
- 找到您的资源(这将是
citizens/{citizenId}/personal-details
下的 GET
方法)。点击它。
- 将为您提供
Arn
。
当使用基于路径的参数时,任何参数都会被 *
替换,因此这将成为下面的内容。
'arn:aws:execute-api:' + region + ':' + awsAccountId + ':' + restApiId + '/' + stage + '/GET/citizens/*/personal-details'
我正在使用 Claudia-api-builder 来创建和部署。 https://github.com/claudiajs/example-projects/tree/master/custom-authorizers
我的 AWS 自定义授权方如下所示:
let jwtDecode = require('jwt-decode');
var generatePolicy = function (authToken, methodArn) {
'use strict';
var tmp = methodArn.split(':'),
apiGatewayArnTmp = tmp[5].split('/'),
awsAccountId = tmp[4],
region = tmp[3],
restApiId = apiGatewayArnTmp[0],
stage = apiGatewayArnTmp[1];
let group = jwtDecode(authToken)["cognito:groups"];
if (group[0] === 'Admin') {
return {
'principalId': authToken.split('-')[0],
'policyDocument': {
'Version': '2012-10-17',
'Statement': [{
'Effect': 'Allow',
'Action': [
'execute-api:Invoke'
],
'Resource': [
'arn:aws:execute-api:' + region + ':' + awsAccountId + ':' + restApiId + '/' + stage + '/GET/citizens',
'arn:aws:execute-api:' + region + ':' + awsAccountId + ':' + restApiId + '/' + stage + '/GET/citizens/{citizenId}/personal-details'
]
}]
}
};
}
exports.auth = function testAuth(event, context, callback) {
'use strict';
console.log('got event', event);
/*
* {
* "type":"TOKEN",
* "authorizationToken":"<Incoming bearer token>",
* "methodArn":"arn:aws:execute-api:<Region id>:<Account id>:<API id>/<Stage>/<Method>/<Resource path>"
* }
*/
if (event && event.authorizationToken && event.methodArn) {
callback(null, generatePolicy(event.authorizationToken, event.methodArn));
} else {
callback('Unauthorized');
}
};
资源中的第一个 API 工作正常,但是当我调用第二个 API i:e :
'arn:aws:execute-api:' + region + ':' + awsAccountId + ':' + restApiId + '/' + stage + '/GET/citizens/{citizenId}/personal-details'
它给我 403 禁止访问:
{
"Message": "User is not authorized to access this resource"
}
在我的例子中,授权缓存也被禁用
这个问题有什么解决方案吗?
资源不应是API网关方法的路径。
其实应该是资源的Arn。您可以通过执行以下操作从 AWS 控制台获取此信息:
- 打开API网关
- Select 你的 API 网关
- 单击
Resources
选项 - 找到您的资源(这将是
citizens/{citizenId}/personal-details
下的GET
方法)。点击它。 - 将为您提供
Arn
。
当使用基于路径的参数时,任何参数都会被 *
替换,因此这将成为下面的内容。
'arn:aws:execute-api:' + region + ':' + awsAccountId + ':' + restApiId + '/' + stage + '/GET/citizens/*/personal-details'