AWS Lambda验证手机app发送的用户令牌？

Question

我正在使用Amazon Mobile Hub构建一个移动应用程序。我在MobileHub中使用AWS Cognito对注册和登录的用户进行身份验证。我现在正在尝试使用AWS Lambda与DynamoDB通信来执行一些操作。

在这样做的时候，我偶然发现了一个问题，那就是我不确定如何验证一个用户。从某种意义上说，如果我通过云逻辑将访问令牌发送给我的Lambda函数，我将如何验证该令牌并使用从该令牌中检索的用户名继续我的操作呢？

该SDK允许Lambda函数与AWS Cognoto功能进行通信，但我没有找到任何有用的函数来实际验证令牌。https://github.com/aws/amazon-cognito-identity-js

Answer 1

因此，在使用Cognoto进行授权时，有两个选项。

1）您可以将Cognito Authorizer附加到API，它“只是工作”，在引擎盖下Cognito验证令牌。您对授权过程没有太多控制，基本上要么是肯定的，要么是否定的。

2）正如prateek所说，你可以使用自定义授权器，有点像这样的东西，注意：我已经把密钥放在代码中，这是一个非常糟糕的主意，你应该把它存储在一个环境变量KMS加密。

import jwt from 'jsonwebtoken'

export default (event, context, callback) => {

    const key = '' // <--- YOU GET THIS KEY FROM https://cognito-idp.{region}.amazonaws.com/{userPoolId}/.well-known/jwks.json.
    jwt.verify(event.authorizationToken, key, (err, decoded) => {
        if (err) {
            console.log('JWT VALIDATION ERROR')
            callback(null, responder.unAuthorised())
            return
        }

        const principalId = decoded.user.username

        const apiOptions = {}
        const tmp = event.methodArn.split(':')
        const apiGatewayArnTmp = tmp[5].split('/')
        const awsAccountId = tmp[4]
        apiOptions.region = tmp[3]
        apiOptions.restApiId = apiGatewayArnTmp[0]
        apiOptions.stage = apiGatewayArnTmp[1]
        const method = apiGatewayArnTmp[2]
        let resource = '/' // root resource
        if (apiGatewayArnTmp[3]) {
            resource += apiGatewayArnTmp[3]
        }

        const policy = new AuthPolicy(principalId, awsAccountId, apiOptions)

        // DENY
        policy.denyMethod(AuthPolicy.HttpVerb.POST, "/someEndpoint")

        // PERMIT
        policy.allowMethod(AuthPolicy.HttpVerb.POST, "/someEndpoint")    

        const authResponse = policy.build()

        // YOU CAN EMBED ANYTHING ELSE YOU WANT TO ADD LIKE SO:
        authResponse.context = {
            username: decoded.username,
            someKey: someInfo,
        }

        callback(null, authResponse)

    }) //  jwt.verify(
}

我不记得科尼托在它的令牌中放了什么声明，但是在你jwt.verify控制台记录解码的令牌之后，你会从你的用户池中看到一大堆信息，然后你可以在authResponse.context中传递这些信息，它会出现在你event.requestContext.authorizer.下的lambda中

请记住，标识令牌将包含来自用户池的信息。

Answer 2

您可以在AWS apigateway中使用自定义授权器来授权API请求。访问权标可以作为所有认证API的请求报头发送，且当它到达API网关时，定制授权器逻辑将调用，因此λ函数将调用，并且访问权标可以被验证。这是自定义授权者的例子。