为什么 AWS APIG 在不正确的端点上返回授权错误

Question

调用未在 APIG 中配置的端点并提供授权标头（JWT 令牌）时，APIG 会响应

{
"message": "Authorization header requires 'Credential' parameter. Authorization header requires 'Signature' parameter. Authorization header requires 'SignedHeaders' parameter. Authorization header requires existence of either a 'X-Amz-Date' or a 'Date' header. Authorization=eyJraWQiOiJQK0"

}

在端点路径之前验证身份验证的任何原因。我相信调用任何不存在的端点都会导致 404，但显然情况并非如此。 即使它首先验证身份验证令牌，它也不应该对此做出响应，因为我向它传递了一个完全有效且活跃的 JWT 令牌。

关于为什么要这样配置有什么想法吗？

Answer 1

AWS API Gateway 即使对于不存在的资源也会响应 403 错误，如此处和此处所述。
我怀疑这是出于安全原因：提供 404 响应会隐式揭示 API 结构。
理想情况下，这可以防止攻击者通过搜索返回 404 而不是 403 的路径来暴力破解 API 结构。