使用ApiGateway授权程序验证Github有效负载签名（X-Hub-Signature）

Question

我目前正在开发一个简单的api来接收Github事件有效负载，我想验证它们是否来自正确的源。有了这个，我就可以在请求头中使用hmac签名（由github使用我提供的秘密生成）。为了验证签名，ApiGateway授权人需要签名（X-Hub-signature）、用于生成签名的秘密以及消息正文。据我所知，Api网关不允许您将主体传递给Api网关授权者。有人知道一种不需要额外的代理lambda和s3的方法吗？

*注意：请求者是Github Webook服务（无法将正文添加到标题）

基本ApiGateway Auth文档：https://docs.aws.amazon.com/apigateway/latest/developerguide/apigateway-use-lambda-authorizer.html

Answer 1

这是你怎么做的。

将您的内容传递到传入请求的授权头，它将被传递到您的自定义授权程序。

从下面的属性中抓取the的内容，

event.authorizationToken

其中，事件是传递给lambda的参数之一（第1个），

我目前加密并将所有信息添加到该头中，并将其发送到自定义授权人lambda。

您还可以访问其他参数，如下所示：

var headers = event.headers;
var queryStringParameters = event.queryStringParameters;
var pathParameters = event.pathParameters;
var stageVariables = event.stageVariables;
var requestContext = event.requestContext;

希望有帮助。