在Python中对API网关的请求中使用AWS Cognito访问令牌

Question

我已经能够为我的Aws Cognito用户获取访问令牌（使用这个）。但我不知道如何使用它为带有Cognito authorizer的Api网关生成经过身份验证的请求。有人能分享一个示例片段吗？

Answer 1

我的答案假设你有Cognito Authorzer，而不是Lambda Authorzer。创建Cognito授权程序时，在令牌源字段中给出授权令牌的名称。例如，auth_token。

要调用授权人访问的API资源，需要当前登录用户的IdToken。

在lambda函数的帮助下，您可以通过获取IdToken、AccessToken和刷新令牌来组织用户登录。IdToken和AccessToken活不长。您可以创建一个lambda函数，该函数向用户池发送一个刷新令牌，并作为响应返回新的IdToken。在这里阅读更多关于这些东西的信息。

因此，您有了一个新的IdToken，以及Cognito授权人所需的令牌的名称。在我的示例中，它是auth_令牌。

import requests 
import json

CustomHeader = {'auth_token': "very-long-id-token"} 
r = requests.post(
    "https://xxx.execute-api.us-east-1.amazonaws.com/beta/user/function-for-auth-users-only",
    data=json.dumps({"whatever_you_need": "your_value"}),
    headers=CustomHeader) 
print(r.json())

Answer 2

在发出API网关请求时，将从Cognito用户池获得的访问或id令牌放入身份验证头中

Answer 3

问题应该出在API网关和Cognito用户池配置中。您可以在标头请求中使用id令牌而不是访问令牌，如果API网关和Cognito用户池有基本配置，它应该可以工作。

如果您更喜欢使用访问令牌，您必须在API网关和Cognito用户池的配置中检查一些细节：Cognito中应该有一个资源服务器，同时应该在API网关的方法请求中与资源服务器一致地定义OAuth作用域。在这个问题中，您可以找到关于这个配置的一个很好的解释：AWS API网关-使用带有Cognito用户池授权器的访问令牌？

我建议你这最后的方式，并使用访问令牌。

关于请求头，只需放置“授权”：您的\u访问\u令牌。当您在API网关中创建了授权者时，请检查是否已在令牌源中添加了“Authorizarion”。