授权来自查询字符串中令牌的 AWS API 网关请求

Question

我已经 API 网关设置了一个 Cognito 授权方，该授权方可以正确授权 header 中带有 id 令牌的任何请求。

当请求基于 XHR 时这很好，因为我可以在准备请求时添加 header。但是，当使用由浏览器直接创建的 <audio src="http://api-gateway/..."> 时，我无法添加它。

我能做的最好的事情是在查询字符串中附加令牌 (?token=...)，但 Cognito 只接受 header 中的令牌。

有什么方法可以让 Cognito 对来自 HTML/CSS 的请求进行授权？

Answer 1

遗憾的是API网关不支持查询字符串或路径参数中的安全令牌。我认为这在短期内不会发生变化，因此建议用适当的 JS 客户端代码替换任何硬编码的 HTML 元素。