使用Cognito授权调用API Gateway：id_token测试授权返回未授权，是否可行？

先给你吃个定心丸：用Cognito内置登录页（response_type=token）拿到的id_token，确实可以用来测试API Gateway的Cognito用户池授权器。你现在遇到的报错，大概率是以下某一个细节没配置对，我给你列几个最常见的排查点：

• 检查Token本身的有效性与匹配度
  先解码你的id_token（可以用JWT解析工具直接查看payload），重点关注三个核心字段：

  • exp：确认token未过期，这个字段是时间戳，转成日期就能直观判断；
  • iss：必须和你API Gateway授权器里配置的用户池地址完全一致，格式为https://cognito-idp.<你的区域>.amazonaws.com/<你的用户池ID>；
  • aud：必须等于你登录时使用的Cognito客户端ID，大小写、字符都不能有偏差。

• API Gateway授权器的测试姿势要正确
  这是很多人踩坑的点：如果你的授权器配置的Token Source是method.request.header.Authorization（这是默认的常见配置），那在Test Authorizer中输入token时，必须写成Bearer <你的id_token>格式，而不是直接粘贴token字符串！API Gateway的Cognito授权器默认会解析带Bearer前缀的格式，没有前缀会直接判定请求无效。

• 核对授权器与Cognito的关联配置

  • 确认API Gateway里的授权器是Cognito用户池类型，而非自定义授权器或IAM授权；
  • 授权器关联的用户池、客户端ID，必须和你登录用的Cognito用户池、客户端完全一致，别搞混了测试/生产环境的资源；
  • 若授权器设置了"Authorization Scopes"，要确认和你登录时请求的scopes匹配——比如你登录时没请求email scope，授权器却要求这个scope，也会触发未授权报错。

• Chalice框架的路由授权配置
  如果你是用Chalice定义的API路由，要确认给需要授权的路由绑定了正确的Cognito授权器，示例代码如下：

  from chalice import Chalice, CognitoUserPoolAuthorizer
  
  app = Chalice(app_name='my-api')
  cognito_authorizer = CognitoUserPoolAuthorizer(
      'my-user-pool',
      provider_arns=['arn:aws:cognito-idp:us-east-1:123456789012:userpool/us-east-1_abc123']
  )
  
  @app.route('/protected', authorizer=cognito_authorizer)
  def protected_route():
      return {"status": "authorized"}
  

  另外，部署后可以去API Gateway控制台确认路由的授权配置是否和Chalice里的定义一致，有时候部署可能没同步最新配置。

• Cognito客户端的OAuth配置
  回到你的Cognito用户池客户端设置：

  • 确认"Allowed OAuth Flows"勾选了Implicit grant（因为response_type=token属于隐式授权流）；
  • "Allowed OAuth Scopes"必须包含openid——没有这个scope，Cognito不会生成有效的id_token；
  • 确认"Callback URL(s)"是你登录时使用的地址，Cognito会验证回调地址的合法性，不匹配的话可能生成的token存在有效性问题。

按上面的步骤逐一排查，应该就能找到问题所在了。

内容的提问来源于stack exchange，提问作者Edwin Evans