CognitoとAPIGatewayを使ってrequestに認証をかける

clientはAmplifyなどを使って認証を完了させる

backendにrequestを投げる時に、Authorization Headerでaccess tokenを付与する

API Gatewayの認証では、IDトークンを使用するので --query を使ってIDトークンだけ取り出します。 ref

え、ID tokenなの #??

ID tokenってそんな使い方するっけ？

ここにもID tokenと書いている

mrsekut.iconがUserInfo endpointの理解とごっちゃになっているのが原因？

これってOIDCの仕様じゃどういうフローになるんだ？

API Gatewayのオーソライザーを設定しておくことで、headerを見て弾いてくれる

こうすれば、backend側には何の実装も必要ない