AWS与C#无服务器应用问题：无法找到访问ID令牌的上下文

嘿，刚上手AWS Serverless的话确实容易碰到这类上下文获取的问题，我来给你梳理下解决思路：

1. 确认Lambda的输入参数类型 #

你用的是"AWS Serverless Application with Tests"蓝图，生成的C# Lambda函数应该默认使用APIGatewayProxyRequest作为输入参数——这个对象包含了API Gateway传递过来的所有请求信息，包括我们需要的请求头和授权上下文。如果你的函数参数不是这个类型，先调整过来：

using Amazon.Lambda.APIGatewayEvents;
using Amazon.Lambda.Core;

public async Task<APIGatewayProxyResponse> FunctionHandler(APIGatewayProxyRequest request, ILambdaContext context)
{
    // 你的业务逻辑写在这里
}

2. 从请求头直接获取ID令牌 #

如果客户端调用API时，是把Cognito ID令牌放在Authorization请求头里（格式通常是Bearer <你的ID令牌>），你可以直接从request.Headers字典中提取：

if (request.Headers.TryGetValue("Authorization", out var authHeader))
{
    // 去掉"Bearer "前缀，拿到纯ID令牌
    var idToken = authHeader.Trim().Replace("Bearer ", string.Empty);
    
    // 接下来你可以验证令牌（比如用JwtSecurityTokenHandler），或者提取用户信息
}

3. 通过Cognito Authorizer获取解析后的上下文（更推荐） #

如果你的API Gateway配置了Cognito用户池作为授权者，API Gateway会自动解析ID令牌，并把用户信息注入到Lambda的RequestContext中，这样你不需要自己解析令牌：

if (request.RequestContext.Authorizer != null)
{
    // 从授权上下文中获取Cognito用户的claims信息
    var cognitoClaims = request.RequestContext.Authorizer["claims"] as Newtonsoft.Json.Linq.JObject;
    var userId = cognitoClaims["sub"].ToString(); // 用户唯一ID
    var userEmail = cognitoClaims["email"].ToString(); // 用户邮箱
    
    // 部分配置下，授权上下文还会包含原始ID令牌，直接取即可
    var idToken = request.RequestContext.Authorizer["idToken"]?.ToString();
}

注意： #

要让API Gateway把令牌信息传到Lambda，需要在Cognito授权者的配置中，确保勾选了**"Include Authorization in context"**（或者类似的选项，不同AWS控制台版本可能表述略有不同）。

4. 关于创建Cognito用户的补充 #

你提到要同时在数据库和Cognito中创建用户——这里要注意：如果是Lambda主动创建Cognito用户（比如AdminCreateUser），其实不需要ID令牌，而是需要给Lambda的IAM角色添加cognito-idp:AdminCreateUser等相关权限，然后用AWS SDK for .NET调用Cognito API：

using Amazon.CognitoIdentityProvider;
using Amazon.CognitoIdentityProvider.Model;

// 初始化Cognito客户端（Lambda角色有对应权限的话，不需要手动配置凭证）
var cognitoClient = new AmazonCognitoIdentityProviderClient();

var createUserRequest = new AdminCreateUserRequest
{
    UserPoolId = "你的Cognito用户池ID",
    Username = "要创建的用户名",
    UserAttributes = new List<AttributeType>
    {
        new AttributeType { Name = "email", Value = "user@example.com" },
        new AttributeType { Name = "name", Value = "张三" }
    },
    TemporaryPassword = "临时密码（可选）"
};

await cognitoClient.AdminCreateUserAsync(createUserRequest);

常见排查点 #

• 检查API Gateway的集成请求是否过滤了Authorization头：确保集成请求的"Headers"设置中，没有排除Authorization
• 确认Lambda的IAM角色权限：如果要调用Cognito API，角色必须有对应的cognito-idp:*权限
• 验证令牌格式：如果手动解析令牌，要确保令牌是有效的JWT格式，可以用JwtSecurityTokenHandler类来验证

内容的提问来源于stack exchange，提问作者Dar