amazon-web-services - apis aws

Al retorno 401 de un autorizador personalizado de puerta de enlace de API le falta el encabezado ''Control de acceso: permitir origen''

Question

Para evitar que los usuarios que no han iniciado sesión llamen a mi función lambda a través de AWS API Gateway, estoy usando la solución lambda Custom Authorizer.

Si la solicitud es autorizada (200) y recibo una respuesta del lambda llamado todo funciona bien y obtengo el encabezado Access-Control-Allow-Origin .

Pero si la solicitud no está autorizada, obtengo un 401 que no tiene encabezado Access-Control-Allow-Origin , por lo tanto, no puedo leer el estado 401 de la respuesta y redirigir al usuario a la página de inicio de sesión.

Creo que esto se debe a que el mecanismo de Autorización personalizada no sabe que la solicitud necesita usar CORS. ¿Alguien sabe que este es realmente el problema? ¿Conoces alguna posible solución?

Answer 1

Debido a que me tomó un tiempo encontrar la manera de ponerlo todo junto en Cloud Formation, aquí hay un fragmento que muestra cómo configurarlo.

...
MyApi:
Type: "AWS::ApiGateway::MyApi"
Properties:
Description: My API
Name: "my-api"
MyApiAuthorizer:
Type: "AWS::ApiGateway::Authorizer"
Properties:
Name: "my-api-authorizer"
IdentitySource: "method.request.header.Authorization"
ProviderARNs:
- !GetAtt MyUserPool.Arn
RestApiId: !Ref MyAApi
Type: COGNITO_USER_POOLS
MyApiGatewayResponse:
Type: "AWS::ApiGateway::GatewayResponse"
Properties:
ResponseParameters:
"gatewayresponse.header.Access-Control-Allow-Origin": "''*''"
"gatewayresponse.header.Access-Control-Allow-Headers": "''*''"
ResponseType: UNAUTHORIZED
RestApiId: !Ref MyApi
StatusCode: "401"

Answer 2

La forma más fácil de resolver esto para todos los errores 4XX (incluidos los errores 401) es ir a "Respuestas de puerta de enlace" y luego seleccionar "Valor predeterminado 4XX" y luego agregar el encabezado "Control de acceso-Permitir-Origen" con el valor ''* ''.

Ver captura de pantalla:

Answer 3

Me complace anunciar la nueva función de Respuestas de puerta de enlace que le permite personalizar las respuestas de error para las solicitudes que no llaman a su integración. Esto le permite asegurarse de que los encabezados CORS estén incluidos, incluso en solicitudes de autenticación fallidas.

Lea más en nuestra documentation , que incluye un ejemplo de CORS.

Answer 4

Sí, este es un error conocido con autorizaciones personalizadas API Gateway. Gracias por traer esto a nuestra atención. El equipo actualizará esta publicación cuando hayamos implementado una solución. Disculpas por los inconvenientes.