能否让AWS API Gateway传递OpenAPI操作安全上下文至授权器/集成Lambda？

现状说明 #

AWS API Gateway基于OpenAPI部署API时，确实不会自动将操作定义中的security对象传递给Lambda授权器或集成Lambda——比如你提到的addPet操作要求write:pets和read:pets权限的配置，API Gateway会直接忽略，必须手动处理权限校验。

针对你的需求的可行方案 #

1. 将security对象传递给Lambda授权器，同时验证JWT与权限 #

目前没有原生支持，但可以通过OpenAPI自定义扩展字段实现：

• 在OpenAPI的每个操作定义中添加自定义扩展字段，示例如下：

  paths:
    /pets:
      post:
        operationId: addPet
        security:
          - petstore_auth:
              - write:pets
              - read:pets
        x-amazon-apigateway-authorizer:
          type: request
          authorizerUri: arn:aws:lambda:...
          # 自定义权限字段，明确当前操作所需权限
          x-custom-required-permissions: ["write:pets", "read:pets"]
  

• 在Lambda授权器中，通过event.requestContext.resourcePath和event.httpMethod匹配到对应操作逻辑，读取自定义的x-custom-required-permissions字段，先完成JWT有效性验证，再校验用户权限是否匹配。

2. 将security对象放入requestContext传递给集成Lambda #

同样依赖OpenAPI自定义扩展+映射模板实现：

• 先在OpenAPI操作中添加自定义权限字段（同上述步骤）；
• 在API Gateway的集成请求中配置映射模板，将自定义权限字段注入到requestContext中，示例JSON映射模板：

  {
    "requestContext": {
      "identity": $context.identity,
      "customPermissions": ["write:pets", "read:pets"]
      # 也可通过阶段变量或请求参数动态取值，适配多场景
    },
    "body": $input.json('$')
  }
  

• 也可以先将自定义权限字段映射到请求头部，再在映射模板中提取头部值放入requestContext。

关于你的疑惑与替代方案的说明 #

• 为什么AWS不支持传递完整OpenAPI操作对象？
  API Gateway在部署时会将OpenAPI定义编译为内部优化的执行模型，运行时不会加载完整的OpenAPI文档——这是为了减少请求处理延迟、提升性能。如果实时读取解析OpenAPI文档，会显著增加每个请求的处理开销，不符合高可用低延迟的服务设计目标。

• 在Lambda中引入OpenAPI规范校验的弊端
  这种方案确实不够理想：一是会增加Lambda的冷启动时间（加载解析OpenAPI文档），二是运行时每次请求都要执行文档解析，额外增加开销；另外，OpenAPI文档更新后还需要同步更新Lambda内的副本，维护成本较高。

• 能否配置API Gateway在requestContext中加入更多OpenAPI数据？
  目前没有原生配置项支持直接传递完整的OpenAPI操作数据，只能通过上述自定义扩展字段+映射模板的方式，手动将需要的特定字段（如权限、操作ID等）注入到requestContext中。

内容的提问来源于stack exchange，提问作者JHH