从 AWS Cognito 获取 401 未经授权 +从Postman或cURL访问时的API网关

Question

我尝试使用 AWS Cognito 提供的令牌通过 Postman 或 cURL 访问 URL，但失败了。

我使用下面的 CloudFormation 模板创建了一个带有 JWT 身份验证的 API。

https://github.com/awsdocs/amazon-api-gateway-developer-guide/blob/main/cloudformation-templates/HTTP/http-with-jwt-auth.yaml

登录后，我可以使用返回的 URL 和 access_token 访问 lambda 函数。这正如预期的那样工作：

http://<api_url>/?access_token=<token>

但是当我尝试使用标头中的 access_token 从 Postman 或 cURL 访问它时，它会输出 401。我希望获得访问权限。

$ curl -v -X GET <url> -H "Authorization: <token>"
{"message":"Unauthorized"}

我尝试过什么：

• 我尝试添加 'Content-Type: application/json'，但仍然得到 401。
• 我尝试使用 Authorization: Bearer，但仍然得到 401。
• 该模板仅返回 access_token，但我的另一个堆栈也返回 id_token，并且两者都返回
• 401 完整的返回标头是：

HTTP/2 401
date: Thu, 03 Mar 2022 20:12:58 GMT
content-type: application/json
content-length: 26
www-authenticate: Bearer
apigw-requestid: ObIjqhmPIAMEJtA=
* Connection #0 to host <url> left intact
{"message":"Unauthorized"}

Answer 1

JWT Authorizer 配置为：

JWTAuthorizer:
    Type: AWS::ApiGatewayV2::Authorizer
    Properties: 
      ApiId: !Ref MyAPI
      AuthorizerType: JWT
      IdentitySource: 
        - '$request.querystring.access_token'
      JwtConfiguration: 
        Audience: 
        - !Ref AppClient
        Issuer: !Sub https://cognito-idp.${AWS::Region}.amazonaws.com/${UserPool}
      Name: test-jwt-authorizer

IdentitySource 必须是“$request.header.Authorization”才能从 header.Authorization 读取。