如何在AWS API网关中为特定端点添加基于Lambda的自定义授权机制

嘿，这个需求太常见了！AWS API Gateway的自定义Lambda授权器正好能解决你的问题——它可以在请求到达后端业务Lambda之前，先帮你完成UUID的有效性校验，而且还能精准绑定到你指定的那个端点上，不用全局启用。我给你一步步说怎么实现：

第一步：编写用于校验UUID的授权Lambda函数 #

首先你得创建一个专门做授权校验的Lambda函数，它的核心逻辑就是从请求里提取UUID，查数据库验证有效性，然后给API Gateway返回允许或拒绝的结果。

举个Python的示例（你可以根据自己用的语言调整）：

import boto3

def lambda_handler(event, context):
    # 这里根据你的实际情况提取UUID：比如从请求头、查询参数或路径参数
    # 假设UUID放在请求头的X-UUID字段里，就这么拿：
    uuid = event['headers'].get('X-UUID')
    # 如果是查询参数，就用event['queryStringParameters'].get('uuid')
    # 如果是路径参数，用event['pathParameters'].get('uuid')

    if not uuid:
        # 没拿到UUID直接拒绝
        return generate_auth_policy('unknown-user', 'Deny', event['methodArn'])
    
    # 替换成你的数据库查询逻辑，比如查DynamoDB
    dynamodb = boto3.resource('dynamodb')
    uuid_table = dynamodb.Table('你的UUID存储表名')
    db_response = uuid_table.get_item(Key={'uuid': uuid})

    # 假设表中有个is_valid字段标记UUID是否有效
    if 'Item' in db_response and db_response['Item']['is_valid']:
        # 校验通过，允许访问后端
        return generate_auth_policy('valid-user', 'Allow', event['methodArn'])
    else:
        # UUID无效或不存在，拒绝访问
        return generate_auth_policy('invalid-user', 'Deny', event['methodArn'])

# 生成符合API Gateway要求的授权响应格式
def generate_auth_policy(principal_id, effect, resource):
    return {
        'principalId': principal_id,
        'policyDocument': {
            'Version': '2012-10-17',
            'Statement': [
                {
                    'Action': 'execute-api:Invoke',
                    'Effect': effect,
                    'Resource': resource
                }
            ]
        }
    }

注意哈：这个Lambda的执行角色必须有访问你数据库的权限，比如如果用DynamoDB，要给角色添加dynamodb:GetItem的权限。

第二步：在API Gateway中配置自定义授权器 #

1. 打开AWS API Gateway控制台，找到你要配置的API
2. 切换到授权器标签页，点击「创建授权器」
3. 类型选择「Lambda」，给授权器起个好记的名字，然后选择你刚才创建的授权Lambda函数
4. 「身份来源」这里要填UUID的位置：比如请求头就填method.request.header.X-UUID，查询参数填querystring.uuid，路径参数填method.request.path.uuid
5. 如果你的API用的是Lambda代理集成，记得勾选「Lambda代理集成」，然后保存授权器

第三步：把授权器绑定到特定端点 #

1. 在API Gateway里找到你要保护的那个路由（比如GET /your-specific-endpoint）
2. 进入该路由的方法请求设置页面
3. 在「授权」下拉菜单里选择你刚才创建的自定义授权器，保存配置
4. 最后一定要重新部署你的API！选择对应的部署阶段（比如prod），部署后配置才会生效

一些额外的注意事项 #

• 缓存设置：API Gateway默认会缓存授权结果300秒，如果你的UUID可能随时失效（比如短时效的令牌），可以在授权器配置里把缓存TTL设为0，或者根据业务需求调整时长
• 错误处理：如果授权Lambda执行出错，API Gateway会返回500错误，你可以在Lambda里加一些异常捕获逻辑，返回更友好的拒绝响应
• 权限验证：确保API Gateway有调用这个授权Lambda的权限——创建授权器的时候，AWS会自动给API Gateway添加Lambda调用权限，但如果后续有变更，可能需要手动检查

备注：内容来源于stack exchange，提问作者Lina