移除API Gateway v2 WebSocket API授权器后异常问题排查求助

1. 验证配置与部署的一致性 #

• 用AWS CLI直接查询API路由配置，避免控制台显示偏差：

  aws apigatewayv2 get-route --api-id <你的API ID> --route-key "$connect"
  

  确认返回结果中AuthorizationType为NONE，且无AuthorizerId字段。
• 检查部署的有效性：

  aws apigatewayv2 get-deployment --api-id <你的API ID> --deployment-id <你的部署ID>
  

  核对部署创建时间，确保是移除授权器后生成的最新部署。

2. 排除缓存干扰 #

• 若API绑定了CloudFront分发，手动清空CloudFront缓存，避免旧配置被缓存。
• 用无缓存方式测试连接，比如用wscat直接发起请求：

  wscat -c wss://<你的API域名>
  

  观察无token时的连接行为，排除客户端缓存影响。

3. 启用并分析访问日志 #

• 在API阶段设置中开启访问日志，指定CloudWatch日志组。查看未携带token时的请求记录：
  • 若日志显示授权器被调用，说明配置未正确生效，需重新部署。
  • 若日志无请求记录，检查是否有WAF规则拦截了无token的连接请求。

4. 排查Lambda上下文来源 #

• 查看$connect集成Lambda的日志，确认requestContext.authorizer下的上下文字段是否来自旧授权器。如果是，说明API Gateway的配置同步存在延迟。
• 尝试创建新的部署阶段，绑定到同一个API，用新阶段的域名测试，排除旧阶段的配置残留。

5. 检查全局/账户级限制 #

• 确认无账户级别的API Gateway资源策略，限制了未携带token的WebSocket连接。
• 排查是否有第三方身份服务前置拦截了连接请求。

6. 强制重置API配置 #

• 删除现有部署，重新创建部署：

  aws apigatewayv2 create-deployment --api-id <你的API ID> --stage-name <你的阶段名>
  

• 导出API配置并手动清理授权相关内容后重新导入：

  aws apigatewayv2 export-api --api-id <你的API ID> --output-type JSON --specification OAS30 > api-config.json
  

  编辑api-config.json，确保$connect路由的security字段为空，再执行导入：

  aws apigatewayv2 import-api --body file://api-config.json
  

7. 联系AWS支持 #

• 若以上步骤无效，收集以下信息提交AWS支持：
  • API ID、部署ID、阶段名称
  • CLI查询的配置结果截图
  • 连接成功/失败的访问日志与Lambda日志
  • 部署操作的时间线记录

内容的提问来源于stack exchange，提问作者JHH