无法在 API Gateway 中使用自定义授权方答案

【问题标题】：Unable to use custom authorizer in API Gateway无法在 API Gateway 中使用自定义授权方
【发布时间】：2018-03-13 00:34:31
【问题描述】：

我有几天时间尝试使用带有 auth0 服务的自定义授权器来保护我的 API 网关。我有我的 lambda 来验证我的不记名令牌，如果我在 AWS 控制台中调用它，Lambda 确实可以工作，并且当我创建自定义授权方时，我可以使用不记名令牌成功测试。

当我尝试将授权方附加到我的 API 网关方法并使用邮递员和 auth0 提供的令牌测试请求时，它总是返回 401 状态代码。我在 CloudWatch 和授权 Lambda 中阅读了我的日志，每当我发出 HTTP 请求时它都不会触发。我正在关注本教程： https://auth0.com/docs/integrations/aws-api-gateway/custom-authorizers/

这是我的授权 lambda 代码：

处理程序：

'use strict';

let jwtManager = require("./jwt_manager");

module.exports.authenticate = (event, context, callback) => {

  jwtManager.validate(event, function (error, data) {
    if (error) {
      if (!error) {
        context.fail("Unhandled error");
      }
      context.fail(error);
    }
    else {
      console.log("SUCCEED");
      context.succeed(data);
    }
  });

};

这是 jwtManager：

"use strict";
require("dotenv").config({ silent: true });

let jwksClient = require("jwks-rsa");
let jwt = require("jsonwebtoken");

module.exports.validate = function(params, callback) {
  var token = validateParams(params);

  var client = jwksClient({
    cache: true,
    rateLimit: true,
    jwksRequestsPerMinute: 10,
    jwksUri: process.env.JWKS_URI
  });

  var decodedJwt = jwt.decode(token, { complete: true });
  var kid = decodedJwt.header.kid;

  client.getSigningKey(kid, function(error, data) {
    if (error) {
        console.log(error);
      callback(error);
    } else {
      var signingKey = data.publicKey || data.rsaPublicKey;
      jwt.verify(
        token,
        signingKey,
        { audience: process.env.AUDIENCE, issuer: process.env.ISSUER },
        function(error, decoded) {
            if (error) {
                console.log("ERROR");
                console.log(error);
                callback(error);
            }
            else {
                console.log(decoded);
                var response = {
                    principalId: decoded.sub,
                    policyDocument: getPolicyDocument("Allow", params.methodArn),
                    context: {
                        scope: decoded.scope
                    }
                }
                console.log(response);
                console.log(response.policyDocument);
                callback(null, response);
            }
        }
      );
    }
  });
};

function validateParams(params) {
  var token;

  if (!params.type || params.type !== "TOKEN") {
    throw new Error("Expected 'event.type' parameter to have value TOKEN");
  }

  var tokenString = params.authorizationToken;
  if (!tokenString) {
    throw new Error("Expected 'event.authorizationToken' parameter to be set");
  }

  var match = tokenString.match(/^Bearer (.*)$/);
  if (!match || match.length < 2) {
    throw new Error(
      "Invalid Authorization token - '" +
        tokenString +
        "' does not match 'Bearer .*'"
    );
  }

  return match[1];
}

 function getPolicyDocument(effect, resource) {

    var policyDocument = {};
    policyDocument.Version = '2012-10-17'; // default version
    policyDocument.Statement = [];
    var statementOne = {};
    statementOne.Action = [ 'execute-api:Invoke', 'lambda:Invoke'] ; // default action
    statementOne.Effect = effect;
    statementOne.Resource = resource.split('/')[0] + '/*';
    policyDocument.Statement[0] = statementOne;
    return policyDocument;
}

提前致谢！

【问题讨论】：

您是否尝试过打印政策声明并确保他们拥有正确的 ID？
我不确定这与我的错误有关，因为当我发出请求时 Lambda 不会触发，因此 API Gateway 永远不会收到来自 Lambda 的响应

标签： node.js amazon-web-services aws-lambda aws-api-gateway

【解决方案1】：

当您测试附加了自定义授权方但从未触发 auth lambda 函数的 API 网关时，可能是由于令牌标头名称/令牌模式验证中的验证不成功。

我能够重现您的问题。

只有当我在 POSTMAN 中将标头名称从“Authorization”更改为“AuthorizationToken”时，才能触发授权方。

check the token header name I made the authorizer works

我认为这可能是 AWS 门户中的一个新错误，因为我注意到他们不久前更改了 UI 以配置 API Gateway Authorizers。

很奇怪，HTTP 请求必须在名为“AuthorizationToken”的标头中发送不记名令牌。如果您的 AWS 计划允许您访问他们的技术支持，您应该提醒他们注意这个问题。

【讨论】：

嘿伙计，您是否也将 method.request.header.AuthorizationToken 作为令牌源，还是将其保留为 method.request.header.Authorization 并按照您在图像中显示的那样发送标题？顺便感谢您的帮助。
显然，我们在 10 月份测试自定义授权方时收到的 HTTP 错误代码 401 是由于 AWS 的一些暂时性错误，当我们指定“授权”作为自定义授权配置中的令牌源。刚才重新测试的时候，问题已经解决了。现在只需按照教程进行操作即可。

【解决方案2】：

我想描述一下我是如何解决这个问题的。

首先，自定义授权方始终需要在 authorizationToken 字段中使用不记名令牌，但是从 Postman 或任何其他客户端调用 API 网关时，您可以在授权标头中发送“不记名令牌”，因为这是行业标准，AWS 支持它。

这里的技巧是在配置“自定义授权者”时在“令牌源”中。我在这里附上了一张图片，您可以在其中配置“令牌源”，该字段描述了自定义授权方的输入来自“授权标头”。这样，您仍然可以从邮递员的“Authorzation”标头中发送令牌，API Gateway 会在调用自定义授权 lambda 时将其从“Authorization”标头复制并复制到“authorizationToken”输入字段。

希望很清楚。如果您需要更多详细信息，请告诉我。

【讨论】：

【解决方案3】：

在我的例子中，同样的错误（lambda 未触发，授权失败）是由于我还没有部署 API。我可能错了，但似乎要测试授权者，您的 API 必须至少部署一次。

所以，我部署了 API，授权器测试开始工作。

【讨论】：