使用 QueryString 的自定义授权方

Question

我试图限制用户只能查看自己的数据，而不是其他任何人的数据。因此，如果用户 (bob) 尝试点击

/api/v1/get-device-info?username=jon

，我希望 API 网关发送 403，只允许 username=bob。在 Lambda 方面，我从 RDS 获取数据。为了解决这个问题，我查看了自定义授权者，但在思考如何确定进行查询的用户的身份时遇到了问题。

Answer 1

“建立用户身份”是什么意思？如果您使用的是自定义授权者，那么用户应该在请求标头中发送一个令牌，将他们标识为您的 API 的用户。