amazon api Gateway-Web应用程序的自定义授权者与认知身份验证

Question

我一直在做一个网络应用程序。（通过API网关，在S3上安装Angular2，在lambda中安装API）。对于身份验证，我使用了cognito和自定义授权器（我通过自定义授权器和cognito将我的身份验证配置为与Google和Facebook bith一起工作）。在自定义授权器的情况下，我通过authroization头传递令牌，我的自定义授权器验证它。

我在寻求建议，我应该继续前进，他们的利弊是什么。我能想到的是：

AWS认知：

专业人士

1. AWS SDK为您处理一切，您不会在身份验证过程中犯太大错误。
2. 通过IAM对AWS资源进行细粒度访问控制。
3. 身份验证不需要在每个API前面添加额外的lambda函数。

缺点

1. 需要在客户端特别使用AWS SDK。程序员必须将它添加到他们的工具链中，并在开发过程中加以利用。增加额外的复杂性。
2. 并不真正需要对资源进行细粒度的访问控制，因为唯一需要的访问是对API网关的访问。

自定义授权程序

专业人士

1. 您可以使用您想要的身份验证机制。对身份验证和授权的最终控制。
2. 您可以让UI使用标准令牌(JWT)调用API，开发人员的html" target="_blank">流程保持不变。无需额外考虑AWS SDK.

缺点

1. 身份验证需要大量的思考和努力来构建。
2. 错过一些关键方面的机会总是存在。
3. 这就像是推倒重来。Amazon已经为您做过了，为什么还要做呢。

尽管如此，我现在倾向于定制授权。在这个话题上需要建议。

Answer 1

使用Cognito/IAM的另一个好处是，它可以保护您免受CSRF重播攻击。请求签名涉及使用时间戳。IAM将拒绝任何超过5分钟前签署的请求。

简而言之，如果可以，请避免使用自定义授权程序，并将IAM与Cognito一起使用。你会感谢你自己的。