能否通过AWS Lambda与API Gateway修改请求头并处理JWT验证？

AWS完全支持你描述的需求，下面是两种适配场景的实现方案，同时帮你理清Lambda集成的工作机制：

1. 推荐方案：自定义Lambda授权器（Custom Lambda Authorizer） #

这是API Gateway专门用于处理请求认证/授权的组件，完美匹配你的流程：

• 触发逻辑：所有请求到达API Gateway时，会自动触发你指定的Lambda函数
• 核心步骤：
  • 从请求头（比如Authorization）提取JWT Token
  • 执行Token验证（签名合法性、过期时间、issuer校验等）
  • 解析Token中的用户ID，将其注入到请求上下文或直接映射为后端请求头
  • 返回授权决策（允许/拒绝访问），同时传递User-ID参数给后端服务
• 配置关键：
  • 在API Gateway控制台创建「Token类型」的自定义授权器，指定Token所在的请求头
  • Lambda函数必须返回符合API Gateway规范的结构，示例：

    {
      "principalId": "user_123",
      "policyDocument": {
        "Version": "2012-10-17",
        "Statement": [
          {
            "Action": "execute-api:Invoke",
            "Effect": "Allow",
            "Resource": "arn:aws:execute-api:us-east-1:1234567890:abc123/prod/GET/users"
          }
        ]
      },
      "context": {
        "User-ID": "user_123"
      }
    }
    

  • 在API Gateway的集成设置中，将context.User-ID映射到后端服务的User-ID请求头
• 优势：认证逻辑与业务转发解耦，支持授权结果缓存，性能更优

2. 备选方案：Lambda代理集成+请求转发 #

如果你之前尝试的是这种方式，本质是让Lambda作为请求的中转站：

• 触发逻辑：请求直接发送到配置了Lambda代理集成的API端点
• 核心步骤：
  • Lambda接收API Gateway传递的完整请求数据（headers、body、路径参数等）
  • 检查并验证JWT Token，解析出User-ID
  • 构造新请求头，添加User-ID字段
  • 将请求转发到目标后端服务（可使用axios、node-fetch等工具）
  • 将后端响应原样返回给API Gateway，再传递给客户端
• 示例代码（Node.js）：

  const axios = require('axios');
  const jwt = require('jsonwebtoken');
  
  exports.handler = async (event) => {
    // 提取并校验Token
    const authHeader = event.headers?.Authorization;
    if (!authHeader || !authHeader.startsWith('Bearer ')) {
      return { statusCode: 401, body: JSON.stringify({ msg: 'Missing valid token' }) };
    }
    const token = authHeader.split(' ')[1];
    
    try {
      const decoded = jwt.verify(token, process.env.JWT_SECRET);
      const userId = decoded.sub; // 假设User-ID存在于Token的sub字段
      
      // 转发请求到后端服务
      const targetRes = await axios({
        method: event.httpMethod,
        url: process.env.BACKEND_ENDPOINT,
        headers: { ...event.headers, 'User-ID': userId },
        data: event.body ? JSON.parse(event.body) : undefined
      });
      
      // 返回后端响应
      return {
        statusCode: targetRes.status,
        headers: targetRes.headers,
        body: JSON.stringify(targetRes.data)
      };
    } catch (err) {
      return { statusCode: 403, body: JSON.stringify({ msg: 'Invalid token' }) };
    }
  };
  

3. Lambda集成的工作机制说明 #

Lambda集成分为两种模式，这也是很多人混淆的点：

• 代理集成：API Gateway将完整的请求数据（含headers、body、path等）以固定JSON格式传递给Lambda，Lambda返回符合规范的响应后，API Gateway直接转发给客户端。这种模式无需手动配置参数映射，适合需要完整处理请求的场景。
• 非代理集成：你需要手动配置请求映射（将API请求字段映射到Lambda输入）和响应映射（将Lambda输出转换为API响应），适合逻辑简单、不需要完整请求数据的场景。

你的场景用代理集成更高效，无需手动映射大量字段。

内容的提问来源于stack exchange，提问作者YSL