我的网关 API 有一个自定义授权方。我读过很多关于如何自定义在身份验证或授权错误时返回给最终用户的错误消息和代码的文章。 This one seemed the most useful .

问题是 API 网关的行为与记录不符。

我的自定义授权器实现(python):

def lambda_handler(event, context):
    raise Exception('the sky is falling!')

当我使用 curl 调用 API 时:

kash@Laptop$ date; curl -i -X GET -H "Authorization: Bearer 1234abcd`date +%s`" https://xxxx.execute-api.us-west-2.amazonaws.com/prod/ticket
Mon Jun  4 12:27:51 CDT 2018
HTTP/1.1 500 Internal Server Error
Date: Mon, 04 Jun 2018 17:27:53 GMT
Content-Type: application/json
Content-Length: 16
Connection: keep-alive
x-amzn-RequestId: 9cc6d7ce-681c-xxxx-8a4a-23a7616ba4a5
x-amzn-ErrorType: AuthorizerConfigurationException
x-amz-apigw-id: xxxx=

{"message":null}
kash@Laptop$ 

如何使用 {"message": "the sky is falling!"} 让它返回 HTTP 4xx？

对于调试:我转到我的 API 下的网关响应，并从这里更新了“授权者配置错误 (500)”的“主体映射模板”:

{"message":$context.error.messageString}

为此:

{
      "errorMessage":"$errorMessage",
      "messageString":"$messageString",

      "context.errorMessage":"$context.errorMessage",
      "context.messageString":"$context.messageString",

      "context.error.errorMessage":"$context.error.errorMessage",
      "context.error.messageString":"$context.error.messageString",

      "context.authorizer.error.errorMessage":"$context.authorizer.error.errorMessage"
      "context.authorizer.error.errorMessage":"$context.authorizer.error.errorMessage"
      "context.authorizer.errorMessage":"$context.authorizer.errorMessage"
      "context.authorizer.messageString":"$context.authorizer.messageString"

      "type": "$context.error.responseType",
      "statusCode": "'404'",
      "stage": "$context.stage",
      "resourcePath": "$context.resourcePath",
      "stageVariables.a": "$stageVariables.a",

      "context.apiId": "$context.apiId",
      "context.authorizer.claims.property": "$context.authorizer.claims.property",
      "context.authorizer.principalId": "$context.authorizer.principalId",
      "context.authorizer.property": "$context.authorizer.property",
      "context.httpMethod": "$context.httpMethod",
      "context.error.message": "$context.error.message",
      "context.error.messageString": "$context.error.messageString",
      "context.error.responseType": "$context.error.responseType",
      "context.extendedRequestId": "$context.extendedRequestId",
      "context.identity.accountId": "$context.identity.accountId",
      "context.identity.apiKey": "$context.identity.apiKey",
      "context.identity.apiKeyId": "$context.identity.apiKeyId",
      "context.identity.caller": "$context.identity.caller",
      "context.identity.cognitoAuthenticationProvider": "$context.identity.cognitoAuthenticationProvider",
      "context.identity.cognitoAuthenticationType": "$context.identity.cognitoAuthenticationType",
      "context.identity.cognitoIdentityId": "$context.identity.cognitoIdentityId",
      "context.identity.cognitoIdentityPoolId": "$context.identity.cognitoIdentityPoolId",
      "context.identity.sourceIp": "$context.identity.sourceIp",
      "context.identity.user": "$context.identity.user",
      "context.identity.userAgent": "$context.identity.userAgent",
      "context.identity.userArn": "$context.identity.userArn",
      "context.integrationLatency": "$context.integrationLatency",
      "context.path": "$context.path",
      "context.protocol": "$context.protocol",
      "context.requestId": "$context.requestId",
      "context.requestTime": "$context.requestTime",
      "context.requestTimeEpoch": "$context.requestTimeEpoch",
      "context.resourceId": "$context.resourceId",
      "context.resourcePath": "$context.resourcePath",
      "context.responseLength": "$context.responseLength",
      "context.responseLatency": "$context.responseLatency",
      "context.status": "$context.status",
      "context.stage": "$context.stage"
 }

响应是:

 {
      "errorMessage":"",
      "messageString":"",

      "context.errorMessage":"",
      "context.messageString":"",

      "context.error.errorMessage":"",
      "context.error.messageString":"null",

      "context.authorizer.error.errorMessage":""
      "context.authorizer.error.errorMessage":""
      "context.authorizer.errorMessage":""
      "context.authorizer.messageString":""

      "type": "AUTHORIZER_CONFIGURATION_ERROR",
      "statusCode": "'404'",
      "stage": "prod",
      "resourcePath": "/ticket",
      "stageVariables.a": "",

      "context.apiId": "xxxx",
      "context.authorizer.claims.property": "",
      "context.authorizer.principalId": "",
      "context.authorizer.property": "",
      "context.httpMethod": "GET",
      "context.error.message": "",
      "context.error.messageString": "null",
      "context.error.responseType": "AUTHORIZER_CONFIGURATION_ERROR",
      "context.extendedRequestId": "xxxx=",
      "context.identity.accountId": "",
      "context.identity.apiKey": "",
      "context.identity.apiKeyId": "",
      "context.identity.caller": "",
      "context.identity.cognitoAuthenticationProvider": "",
      "context.identity.cognitoAuthenticationType": "",
      "context.identity.cognitoIdentityId": "",
      "context.identity.cognitoIdentityPoolId": "",
      "context.identity.sourceIp": "xxx.244.xxx.2",
      "context.identity.user": "",
      "context.identity.userAgent": "curl/7.47.0",
      "context.identity.userArn": "",
      "context.integrationLatency": "",
      "context.path": "/prod/ticket",
      "context.protocol": "HTTP/1.1",
      "context.requestId": "57e2462d-681c-xxxx-7dd93186dc68",
      "context.requestTime": "04/Jun/2018:17:25:57 +0000",
      "context.requestTimeEpoch": "1528133157762",
      "context.resourceId": "pz9fb8",
      "context.resourcePath": "/ticket",
      "context.responseLength": "",
      "context.responseLatency": "",
      "context.status": "",
      "context.stage": "prod"


 }

我读过:

• Is there a way to change the http status codes returned by Amazon API Gateway?
• How to throw custom error message from API Gateway custom authorizer
• custom authorizers in Amazon API Gateway 500 error
• Is it possible to customize API Gateway custom authorizer response message and status code on unauthorized?

还有一些在 AWS 论坛上。

最佳答案

如果对某人有帮助:

CA = 自定义授权者

• 错误代码:AWS 不完全允许 ​​CA 实现来指示发送回调用方的错误代码。
  • 如果 CA 返回的 Auth Policy 没有在具有操作 Allow 的语句之一中调用的资源/方法，则用户会收到 403，其中包含类似“未授权访问资源"
  • 如果 CA 返回一个 Auth Policy，其中包含包含调用的资源/方法的 Deny 操作语句，则用户会收到 403，其中包含类似“使用 Deny 显式拒绝访问”
  • 如果 CA 引发的异常包含消息“未经授权”，则用户将收到带有消息“未经授权”的 401。
  • 如果 CA 抛出任何其他消息的异常，则用户会收到 HTTP-500 内部服务器错误(授权方配置错误)并且调用被拒绝/未授权。
• 错误消息:网关响应中的 body 映射模板仅允许静态控制。
  • 例如您可以在“网关响应”中更新“未经授权 [401]”的 body 映射模板，以说“我的服务由于某些未知原因不喜欢您”，然后每当 CA 抛出“未经授权”异常时，最终用户都会收到 HTTP 401 “出于某种未知原因，我的服务不喜欢你”。
  • 同样，您还可以更新“拒绝访问 [403]”或“授权方配置错误 [500]”。但消息是静态的，无法通过 CA 实现进行控制。
  • 不可能有不同的 401 消息，例如:
  • 401: token 过期未授权。
  • 401:由于缺少范围而未授权。

其他不相关的事情:因为 CA 在某些情况下抛出异常以传达身份验证失败，从指标的角度来看，这会增加 Lambda ErrorCount 指标。因此该指标不能可靠地识别“应用程序错误”。

关于java - API 网关自定义授权方 : Control error message and code，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/50686003/