CloudFormation配置API Gateway GET端点集成Lambda遇403调用错误的技术咨询

我碰到过一模一样的坑！先别质疑框架——CloudFormation完全支持API Gateway和Lambda的GET集成，问题大概率出在权限配置遗漏或者模板细节偏差上。毕竟手动配置时AWS会悄悄帮你补全很多CloudFormation里需要显式声明的配置项，这也是手动能跑、自动化部署就炸的常见原因。

核心排查方向 #

1. 检查Lambda的权限资源是否缺失 #

手动配置API Gateway+Lambda时，AWS会自动给Lambda添加lambda:InvokeFunction的权限策略，但CloudFormation里必须显式声明这个资源：

AWSTemplateFormatVersion: '2010-09-09'
Resources:
  # 你的Lambda函数
  MyLambdaFunction:
    Type: AWS::Lambda::Function
    Properties:
      # ... 你的Lambda配置

  # 关键：给API Gateway授予调用Lambda的权限
  LambdaInvokePermission:
    Type: AWS::Lambda::Permission
    Properties:
      FunctionName: !Ref MyLambdaFunction
      Action: lambda:InvokeFunction
      Principal: apigateway.amazonaws.com
      # 注意替换成你的API Gateway ARN和GET方法路径
      SourceArn: !Sub "arn:aws:execute-api:${AWS::Region}:${AWS::AccountId}:${MyApiGateway}/*/GET/your-endpoint-path"

这里的SourceArn一定要精准匹配：如果是根路径的GET方法，就是/*/GET/；如果有自定义路径（比如/users），要写成/*/GET/users。通配符和路径写错会直接导致403。

2. 核对API Gateway集成请求的配置 #

CloudFormation里的AWS::ApiGateway::Integration必须满足几个关键点：

• IntegrationHttpMethod必须是POST（不管你的API对外暴露的是GET还是其他方法，API Gateway调用Lambda的固定协议是POST）
• Type设为AWS_PROXY（这是最常用的Lambda代理集成模式，能自动处理请求/响应格式）
• Uri格式要正确，示例：

  Uri: !Sub "arn:aws:apigateway:${AWS::Region}:lambda:path/2015-03-31/functions/${MyLambdaFunction.Arn}/invocations"
  

• 代理集成模式下不需要设置Credentials，留空即可。

3. 确认API Gateway已部署到阶段 #

手动配置时AWS会自动帮你部署API到默认阶段，但CloudFormation里必须显式创建AWS::ApiGateway::Deployment资源，并且要依赖所有方法、集成的创建完成：

MyApiDeployment:
  Type: AWS::ApiGateway::Deployment
  DependsOn:
    - MyGetMethodIntegration # 你的GET方法集成资源
    - MyGetMethod # 你的GET方法资源
  Properties:
    RestApiId: !Ref MyApiGateway
    StageName: prod

如果没部署，就算配置都对，API也处于未激活状态，自然会报错。

4. 用CloudTrail定位具体权限问题 #

如果上面的排查都没问题，去CloudTrail里找对应的Lambda调用失败记录——403错误的日志会明确告诉你哪个权限缺失，比如是不是Lambda的资源策略没正确添加API Gateway的信任，或者API Gateway的执行角色（如果用了非代理集成）没有lambda:InvokeFunction权限。

关于官方文档的疑惑 #

你提到的官方文档可能是没区分代理集成和非代理集成：非代理集成下，GET请求的参数映射确实需要额外配置，但代理模式下完全可以无缝支持GET请求，文档里应该有相关说明，只是可能藏得比较深。

我当时就是漏写了Lambda的Permission资源，手动配置时AWS自动加了，但CloudFormation里必须自己声明。你先按上面的步骤排查，大概率能解决问题。

内容的提问来源于stack exchange，提问作者LordVee