Angular 5项目中Serverless API的AWS_IAM认证异常排查求助

我来帮你排查Angular 5调用AWS IAM认证API的问题，结合你用Cognito联合AD FS的场景，大概率是请求签名或者凭证处理环节出了岔子，咱们一步步梳理：

1. 先确认Angular里AWS SDK的凭证配置是否到位 #

千万别手动拼Authorization头！AWS SDK会自动帮你生成正确的签名，手动处理很容易出错。你要确保从Cognito拿到的临时凭证（accessKeyId、secretAccessKey、sessionToken）被正确注入到SDK里：

import * as AWS from 'aws-sdk';

// 假设你已经通过Cognito获取到了临时凭证数据
const cognitoCreds = new AWS.CognitoIdentityCredentials({
  IdentityId: '你的身份ID',
  Logins: {
    'cognito-identity.amazonaws.com': '你的身份令牌' // 对应AD FS联合身份的登录标识
  }
});

// 把凭证设置给AWS全局配置
AWS.config.credentials = cognitoCreds;
// 别忘了设置API所在的AWS区域
AWS.config.region = '比如us-east-1';

2. 检查API Gateway的CORS配置是否放行签名所需头 #

浏览器会拦截带有特殊头的跨域请求，所以API Gateway的CORS设置必须允许这些AWS签名必备的请求头：

• 确保Allowed Headers里包含Authorization、X-Amz-Date、X-Amz-Security-Token
• 同时Allowed Methods要包含你调用API用的HTTP方法（GET/POST/PUT等）
• 还要确认你的Angular应用域名在Allowed Origins列表里

3. 用AWS SDK调用API，别用普通HttpClient直接发请求 #

普通的HttpClient不会自动处理AWS的签名逻辑，最稳妥的方式是用AWS官方的APIGateway客户端：

import { APIGateway } from 'aws-sdk';

// 初始化API Gateway客户端
const apiClient = new APIGateway({
  apiVersion: '2015-07-09',
  endpoint: '你的API Gateway端点地址'
});

// 调用示例（以GET请求为例）
apiClient.invoke({
  restApiId: '你的API资源ID',
  resourceId: '具体接口的资源ID',
  httpMethod: 'GET',
  // 如果是POST请求，这里传请求体
  // body: JSON.stringify({ key: 'value' })
}).promise()
  .then(res => console.log('请求成功:', res))
  .catch(err => console.error('请求失败:', err));

4. 验证凭证的有效性和权限 #

• 检查Cognito返回的临时凭证有没有过期：在Angular里打印cognitoCreds.expireTime就能看到过期时间
• 确认凭证对应的IAM角色有调用目标API的权限：比如是否附加了允许调用该API的自定义策略，或者AmazonAPIGatewayInvokeFullAccess这类权限

5. 排查浏览器的安全限制 #

• 打开浏览器开发者工具，对比Postman的请求头，看看Angular发送的请求缺了哪些必要头，或者头的格式是否有误
• 检查应用的Content Security Policy（CSP）是否阻止了AWS相关的请求
• 确认同源策略没有影响：如果你的API和Angular应用不同域，必须确保CORS配置完全正确

如果还是不行，你可以把浏览器控制台里的错误信息贴出来，或者对比Postman和Angular的请求头差异，这样更容易定位问题。

内容的提问来源于stack exchange，提问作者user1002089