配置Lambda授权器后API Gateway浏览器调用仍报认证/未授权错误求助

核心问题总结 #

你遇到的错误本质是授权器未正确生效或请求未满足授权要求，结合配置和现象，以下是具体原因和解决步骤：

1. 浏览器请求未携带Authorization请求头 #

你的授权器要求Authorization头为必填项，但浏览器直接访问URL时，默认不会自动添加该请求头，因此API Gateway返回Missing Authentication Token。

• 解决方法：
  • 测试时用curl或Postman手动添加请求头，示例：

    curl -H "Authorization: your-test-token" https://your-api-url/prod/your-resource
    

  • 前端调用时，确保请求中携带Authorization头。

2. 授权器未关联到目标API方法 #

创建Lambda授权器后，必须将其绑定到具体的API Gateway方法上，否则授权器不会生效，API Gateway会按无授权配置处理，返回Missing Authentication Token。

• 解决方法：
  1. 进入API Gateway控制台，找到对应的GET方法
  2. 切换到「请求」标签页
  3. 在「授权」下拉菜单中选择你创建的Lambda授权器
  4. 重新部署API到prod阶段（配置变更必须部署才会生效）

3. 授权器Lambda的VPC配置导致触发失败 #

你将授权器Lambda放在VPC内，但如果VPC未配置正确的网络出口，API Gateway无法触发该Lambda，导致授权验证失败，返回Unauthorized。

• 解决方法：
  • 检查VPC配置：确保Lambda所在子网配有NAT网关（用于Lambda访问公网，API Gateway调用Lambda需要公网连接，除非配置了API Gateway的VPC端点）
  • 若授权器逻辑无需访问VPC内资源，可直接将其移出VPC，避免网络连通性问题

4. 授权器返回的Policy资源ARN不匹配 #

你的授权器返回的Resource为arn:aws:execute-api:eu-north-1:xxx:c8mhri79ja/prod/*/*，需确认该ARN与实际API方法的ARN完全匹配。

• 验证方法：
  1. 进入API Gateway控制台，找到对应方法，点击「方法请求」
  2. 在「设置」中查看「ARN」，确认与授权器返回的Resource一致（注意阶段名、资源路径是否正确）
• 解决方法：
  若不匹配，修改授权器Lambda代码中的Resource字段，替换为实际的方法ARN，或使用符合需求的宽泛匹配规则

5. API Gateway未重新部署 #

授权器配置变更后，必须重新部署API到对应阶段（如prod），否则新配置不会生效，浏览器访问的仍是旧的无授权配置。

• 解决方法：
  在API Gateway控制台点击「部署API」，选择prod阶段，确认部署。

验证步骤 #

按以下顺序操作可快速定位问题：

1. 用curl携带Authorization头调用API，查看是否返回正常结果
2. 确认授权器已绑定到目标方法，且已重新部署API
3. 检查授权器Lambda的VPC网络连通性（若在VPC内）
4. 核对授权器返回的Policy资源ARN是否正确

内容的提问来源于stack exchange，提问作者Peter Horvath