使用Chalice+Lambda的API Gateway端点授权错误排查求助

你的问题核心是手动创建的API Gateway与原Chalice生成的Lambda函数不兼容，导致两类错误：

1. GET /prod授权错误：虽未配置授权，但Chalice Lambda可能自带授权校验逻辑，或API Gateway集成配置未正确传递请求上下文；
2. POST /prod/getStream 500错误：Chalice依赖特定的API Gateway事件格式，手动配置的集成未按要求传递路由、方法等关键信息，导致Lambda无法识别请求。

1. 强制启用Lambda代理集成 #

Chalice的Lambda函数仅兼容Lambda代理集成格式，手动创建API Gateway时必须严格配置：

• 进入API Gateway控制台，找到对应资源（/prod、/prod/getStream等）的「集成请求」配置；
• 确认集成类型选择Lambda代理集成，并勾选「使用Lambda代理集成」选项；
• 验证目标Lambda函数为原Chalice备份的函数。

2. 修正资源路径与方法映射 #

Chalice的路由是基于应用内路径定义的，需在API Gateway中精准映射：

• 不要直接调用/prod根路径（原Chalice无此路由），需在/prod下创建对应子资源：
  • 根资源/下创建prod资源；
  • 在prod下分别创建getStream和deleteStream子资源；
• 为每个子资源配置匹配原Chalice的HTTP方法：
  • /prod/getStream配置GET/POST（对应原Chalice的@app.route('/getStream')）；
  • /prod/deleteStream配置DELETE（对应原删除路由）。

3. 验证Lambda执行角色权限 #

确保API Gateway有权调用目标Lambda：

• 进入IAM控制台，找到Chalice Lambda的执行角色；
• 添加内联政策，允许API Gateway触发该Lambda：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "lambda:InvokeFunction",
            "Resource": "arn:aws:lambda:你的区域:账号ID:function:你的ChaliceLambda名称",
            "Principal": {
                "Service": "apigateway.amazonaws.com"
            }
        }
    ]
}

4. 排查Chalice自带的授权逻辑 #

检查原Chalice代码是否默认启用了授权：

• 查看路由定义，若存在api_key_required=True（如@app.route('/getStream', api_key_required=True)），需：
  1. 在API Gateway中配置对应API密钥并绑定到阶段；
  2. 或修改Lambda代码移除该参数（若业务允许）；
• 检查API Gateway阶段设置，确认未启用「API密钥要求」选项。

5. 用测试事件验证Lambda逻辑 #

通过Lambda控制台的测试功能，验证函数本身是否正常：

• 使用Chalice兼容的事件格式测试（示例如下），若能正常返回，说明问题出在API Gateway的事件传递：

{
    "resource": "/getStream",
    "path": "/prod/getStream",
    "httpMethod": "POST",
    "requestContext": {
        "resourcePath": "/getStream",
        "httpMethod": "POST",
        "stage": "prod"
    },
    "body": null,
    "isBase64Encoded": false
}

• 启用API Gateway的CloudWatch日志，查看请求的详细错误栈（如授权失败的具体原因）；
• 查看Lambda的CloudWatch日志，确认是否存在路由匹配失败、参数解析错误等信息。

内容的提问来源于stack exchange，提问作者Amit