请求Header携带x-api-key仍获Forbidden响应（AWS Lambda函数）

一、PHP代码的核心错误 #

你的代码里CURLOPT_HTTPHEADER的设置方式完全错误：
cURL要求HTTP头参数是字符串数组，每个元素格式为"Header-Name: Value"，但你用json_encode($header)把关联数组转成了JSON字符串，这会让请求头格式完全不符合API Gateway的要求，直接触发权限验证失败。

修正后的代码片段：

$header = array(
    "Content-Type: application/json",
    "Accept: application/json",
    "x-api-key: 你的实际API密钥"
);

// 后续cURL设置
curl_setopt($curl, CURLOPT_HTTPHEADER, $header); // 直接传数组，不要用json_encode

二、额外需要验证的AWS配置点 #

如果修正代码后仍然返回Forbidden，检查以下配置：

• API密钥是否关联到使用计划：API Gateway的API密钥必须绑定到对应的使用计划，且该使用计划关联了你的Lambda触发器对应的API阶段。
• API阶段是否启用了API密钥验证：在API Gateway的阶段设置里，确认「API Key Required」选项已开启。
• API密钥是否有效：检查AWS控制台中该API密钥的状态是否为「Enabled」，没有过期或被禁用。
• 请求URL是否正确：确认URL里的区域、API ID、阶段（示例中的default）和Lambda函数名完全匹配触发器页面显示的端点。

内容的提问来源于stack exchange，提问作者Maithreya Sitaraman