阻止"困惑副手"（confused deputy）

一家监控供应商通过假设您为其创建的角色在您的账户内工作。您在设置集成时把该角色的 ARN 提供给了它，这就是供应商发起调用所需的一切。

打开 External ID 控制台。在这一小时内，有三次 AssumeRole 调用到达了您的角色，全部都来自该供应商。请阅读最底部的卡片，并比较供应商在每次调用中做了什么。

其中两次读取是替别人发起的。勾选 sts:ExternalId 要求，您会看到这两次请求都被拦截。

为什么该供应商的另一位客户不能直接把您的值也一并发送过来？