API Gateway透传代理+AWS_IAM：后端无法获取用户身份求助

我之前也踩过这个坑！透传代理（HTTP_PROXY）模式下，API Gateway默认不会自动把IAM授权后的用户身份信息传递给后端服务，得手动配置请求头映射才行，给你一步步捋清楚怎么解决：

1. 确认IAM授权器已正常生效 #

虽然你说Amplify联合身份登录正常，但还是要确认API Gateway的IAM授权器确实在为你的API做身份验证：

• 可以用Postman或curl发送带正确SigV4签名的请求，验证API是否会拒绝未授权的请求
• 开启API Gateway的CloudWatch日志，查看请求日志里的$context.authorizer字段是否有内容，确认授权流程正常

2. 配置请求头映射（关键步骤） #

在API Gateway的集成请求中添加自定义请求头，把$context中的用户身份信息映射到请求头里，传给后端：

• 登录API Gateway控制台，找到你的目标API资源
• 切换到集成请求标签页，滚动到HTTP Headers部分
• 点击「Add header」，添加自定义头：
  • 比如设置头名称为 X-User-Id，映射值填 $context.identity.cognitoIdentityId（这是Amplify联合身份用户的唯一身份ID）
  • 还可以按需添加其他字段，比如 X-User-ARN 映射 $context.identity.userArn，X-User-Name 映射 $context.identity.user
• 如果你用CloudFormation配置，对应的代码大概是这样：

Resources:
  YourApiResource:
    Type: AWS::ApiGateway::Resource
    Properties:
      # ... 其他资源配置
  YourApiIntegration:
    Type: AWS::ApiGateway::Integration
    Properties:
      Type: HTTP_PROXY
      IntegrationHttpMethod: POST # 匹配你的后端请求方法
      Uri: "https://your-backend-service.com/your-path"
      RequestParameters:
        integration.request.header.X-User-Id: "'$context.identity.cognitoIdentityId'"
        integration.request.header.X-User-ARN: "'$context.identity.userArn'"
      # ... 其他集成配置

注意：CloudFormation里的映射值需要用单引号包裹，避免被当成变量解析

3. 部署API并验证 #

配置完映射后，一定要部署你的API到对应阶段，不然配置不会生效。部署完成后：

• 发送测试请求，在后端服务中读取自定义请求头（比如Node.js里用req.headers['x-user-id']，Python里用request.headers.get('X-User-Id')）
• 再次查看CloudWatch日志，确认这些自定义头已经被添加到转发给后端的请求中

4. 排查常见问题 #

如果还是拿不到信息，检查这几点：

• 映射值是否拼写正确？比如$context.identity.cognitoIdentityId有没有写错字母
• 后端服务是否允许接收自定义请求头？如果有CORS配置，要确保允许这些头（比如在CORS设置的Access-Control-Allow-Headers里添加X-User-Id等）
• 授权器是否真的识别到了用户？查看CloudWatch日志中的$context.identity字段，确认有值返回

内容的提问来源于stack exchange，提问作者Kao