如何通过Cognito用户id限制访问AWS API网关endpoint

Question

我试图通过使用AWS Cognito、Api-Gateway和Lambda来实现电子商务应用程序后端。

要创建新项目，用户必须登录。创建项目后，记录的用户将成为项目的创建者。我已经创建了一个Item createendpoint，并为Apigatewayendpoint添加了Cognito JWT授权程序。

现在我需要实现项目更新终结点。相关的项目更新必须只允许项目的创建者使用。API可能是这样的。

/items/{item-id} PUT
body : { title, price... }
header { Authorization: Cognito-JWT-Token }

使用AWS生态系统实现此类功能的最佳方式是什么。或任何实现此类功能的最佳实践。

Answer 1

你会为每个用户ID项创建一个属性owner。通常你会使用唯一ID标记的sub声明。但是，出于各种原因，我不建议在cognito中使用subject值。如果有人删除了他们的帐户，并用同一封电子邮件创建了一个新帐户，你可以使用电子邮件来确保安全措施到位。

无论您选择什么，在处理程序中，将所有者与已验证的令牌声明进行比较。如果匹配就允许，如果不匹配就不允许。