Serverless API 网关安全配置全攻略：防范 DDoS、SQL 注入与密钥泄露

2025/6/6 10:35:46 25 0 0 0

Serverless API 网关安全配置全攻略：防范 DDoS、SQL 注入与密钥泄露

1. 为什么 API 网关安全至关重要？

2. 防范 DDoS 攻击：多管齐下，构建坚固防线

3. 防范 SQL 注入攻击：严格校验，安全编码

4. 防范 API 密钥泄露：多重保护，安全存储

5. 其他安全最佳实践

6. 总结

Serverless API 网关安全配置全攻略：防范 DDoS、SQL 注入与密钥泄露

各位 Serverless 架构师们，大家好！在拥抱 Serverless 架构带来的便捷与灵活性的同时，API 网关的安全问题也日益凸显。作为 Serverless 应用的入口，API 网关肩负着身份验证、流量控制、请求转发等关键职责。一旦 API 网关出现安全漏洞，整个 Serverless 应用都将面临风险。今天，我们就来深入探讨 Serverless 架构中 API 网关的安全配置，重点关注如何防范 DDoS 攻击、SQL 注入攻击以及 API 密钥泄露等常见问题。

1. 为什么 API 网关安全至关重要？

在深入探讨配置细节之前，我们先来明确 API 网关安全的重要性。API 网关是 Serverless 应用的第一道防线，它承担着以下关键角色：

身份验证与授权：验证用户身份，确认用户是否有权访问特定 API 接口。
流量控制：限制 API 的访问速率，防止恶意请求或意外流量峰值导致服务崩溃。
请求转发：将请求路由到后端的 Serverless 函数，并进行必要的转换和处理。
安全防护：过滤恶意请求，防御常见的 Web 攻击，如 SQL 注入、XSS 攻击等。

如果 API 网关的安全措施不到位，攻击者可以绕过身份验证，恶意攻击后端服务，窃取敏感数据，甚至导致整个系统瘫痪。因此，API 网关的安全配置是 Serverless 应用安全的基础，必须高度重视。

2. 防范 DDoS 攻击：多管齐下，构建坚固防线

DDoS (Distributed Denial of Service) 攻击是指攻击者利用大量的僵尸主机，向目标服务器发起海量请求，导致服务器资源耗尽，无法正常提供服务。API 网关作为 Serverless 应用的入口，自然也成为了 DDoS 攻击的重点目标。以下是一些常用的 DDoS 防护策略：

速率限制 (Rate Limiting)：限制单个 IP 地址或用户在单位时间内可以发起的请求数量。这可以有效地防止攻击者通过大量请求淹没 API 网关。

配置示例 (AWS API Gateway)：

 Resources:
  MyApi:
    Type: AWS::ApiGateway::RestApi
    Properties:
      Name: MyApi
  MyMethod:
    Type: AWS::ApiGateway::Method
    Properties:
      HttpMethod: GET
      RestApiId: !Ref MyApi
      ResourceId: !Ref MyResource
      AuthorizerId: !Ref MyAuthorizer
      ApiKeyRequired: true
      MethodResponses:
        - StatusCode: 200
      Integration:
        Type: AWS_PROXY
        IntegrationHttpMethod: POST
        Uri: arn:aws:apigateway:us-east-1:lambda:path/2015-03-31/functions/${LambdaFunction.Arn}/invocations
      RequestParameters:
         method.request.header.X-Forwarded-For: true #Important for identifying IP addresses behind proxies
 
  MyUsagePlan:
    Type: AWS::ApiGateway::UsagePlan
    Properties:
      ApiStages:
        - ApiId: !Ref MyApi
          Stage: !Ref MyStage
      Description: Usage plan for MyApi
      Quota:
        Limit: 1000 # Requests per day
        Offset: 0
        Period: DAY
      Throttle:
        BurstLimit: 10 # Maximum burst of requests
        RateLimit: 10 # Requests per second

解释：上述配置定义了一个 Usage Plan，限制了每个 API 密钥每天的请求数量为 1000 次，每秒的请求速率为 10 次，最大突发请求数量为 10 次。你可以根据实际需求调整这些参数。

Web 应用防火墙 (WAF)：WAF 是一种专门用于保护 Web 应用免受攻击的安全设备。它可以检测和阻止各种恶意请求，包括 DDoS 攻击、SQL 注入攻击、XSS 攻击等。许多云服务提供商都提供了 WAF 服务，例如 AWS WAF、Azure WAF、阿里云 WAF 等。
- 配置示例 (AWS WAF)：
  1. 创建 Web ACL：在 AWS WAF 控制台中创建一个 Web ACL，并将其与 API Gateway 关联。
  2. 添加规则：添加规则来阻止恶意请求。例如，你可以添加一个规则来阻止来自特定 IP 地址的请求，或者添加一个规则来阻止包含特定模式的请求。
  3. 配置行为：配置规则的行为。例如，你可以配置规则来阻止请求，或者配置规则来记录请求。
地理位置限制 (Geo-restriction)：如果你的 API 只面向特定地区的客户，可以限制来自其他地区的访问。这可以有效地减少攻击面，降低 DDoS 攻击的风险。
- 配置示例 (AWS WAF)：
  1. 创建 IP 集：在 AWS WAF 控制台中创建一个 IP 集，包含允许访问的 IP 地址范围。
  2. 创建规则：创建一个规则，匹配不在 IP 集中的 IP 地址，并阻止这些请求。
  3. 将规则添加到 Web ACL：将该规则添加到与 API Gateway 关联的 Web ACL。
使用 CDN (Content Delivery Network)：CDN 可以将 API 网关的流量分发到全球各地的服务器上。这可以有效地分散攻击流量，提高 API 网关的可用性。
- 配置示例 (AWS CloudFront)：
  1. 创建 CloudFront 分布：在 AWS CloudFront 控制台中创建一个新的分布，并将 API Gateway 作为源服务器。
  2. 配置缓存行为：配置 CloudFront 的缓存行为，例如缓存时间、缓存策略等。
  3. 配置安全策略：配置 CloudFront 的安全策略，例如启用 HTTPS、配置 WAF 等。
监控与告警：实时监控 API 网关的流量和性能指标，及时发现异常情况并发出告警。这可以帮助你快速响应 DDoS 攻击，并采取相应的措施。
- 配置示例 (AWS CloudWatch)：
  1. 创建 CloudWatch 指标：在 AWS CloudWatch 控制台中创建自定义指标，例如 API 请求数量、错误率等。
  2. 创建 CloudWatch 告警：创建 CloudWatch 告警，当指标超过预设阈值时发出告警。
  3. 配置通知：配置告警的通知方式，例如发送邮件、短信等。

3. 防范 SQL 注入攻击：严格校验，安全编码

SQL 注入攻击是指攻击者通过在 Web 应用的输入字段中注入恶意的 SQL 代码，从而篡改或窃取数据库中的数据。API 网关作为 Serverless 应用的入口，也可能受到 SQL 注入攻击。以下是一些常用的 SQL 注入防护策略：

输入验证 (Input Validation)：对所有用户输入进行严格的验证，确保输入的数据符合预期的格式和类型。例如，可以使用正则表达式来验证输入是否为合法的邮箱地址或电话号码。

配置示例 (API Gateway Request Validation):

 Resources:
  MyApi:
    Type: AWS::ApiGateway::RestApi
    Properties:
      Name: MyApi
  MyMethod:
    Type: AWS::ApiGateway::Method
    Properties:
      HttpMethod: POST
      RestApiId: !Ref MyApi
      ResourceId: !Ref MyResource
      RequestParameters:
         method.request.header.Content-Type: true # Ensure Content-Type is present
         method.request.body.name: true # Ensure 'name' field is present in the body
      MethodResponses:
        - StatusCode: 200
      Integration:
        Type: AWS_PROXY
        IntegrationHttpMethod: POST
        Uri: arn:aws:apigateway:us-east-1:lambda:path/2015-03-31/functions/${LambdaFunction.Arn}/invocations

解释: 这个例子确保了请求头中Content-Type字段以及请求体中name字段的存在。这只是一个简单的例子，实际应用中你需要根据你的API的具体需求配置更详细的验证规则，例如数据类型、长度、格式等等。

参数化查询 (Parameterized Queries)：使用参数化查询来执行 SQL 语句。参数化查询可以将用户输入作为参数传递给 SQL 语句，而不是直接将用户输入拼接到 SQL 语句中。这可以有效地防止 SQL 注入攻击。

代码示例 (Node.js)：

 const mysql = require('mysql');
 
const connection = mysql.createConnection({
  host: 'localhost',
  user: 'user',
  password: 'password',
  database: 'database'
});
 
connection.connect();
 
const name = req.body.name;
const email = req.body.email;
 
// 使用参数化查询
const query = 'INSERT INTO users (name, email) VALUES (?, ?)';
connection.query(query, [name, email], (error, results, fields) => {
  if (error) throw error;
  console.log('添加用户成功');
});
 
connection.end();

解释：上述代码使用了 mysql 模块的 connection.query() 方法来执行参数化查询。query 变量包含了带有占位符 ? 的 SQL 语句，[name, email] 数组包含了要传递给 SQL 语句的参数。mysql 模块会自动对参数进行转义，防止 SQL 注入攻击。

最小权限原则 (Principle of Least Privilege)：为数据库用户分配最小的权限。例如，只允许数据库用户执行 SELECT 语句，禁止执行 INSERT、UPDATE、DELETE 语句。这可以降低 SQL 注入攻击的危害。
- 配置示例 (MySQL)：
```
 -- 创建只读用户
CREATE USER 'readonly'@'localhost' IDENTIFIED BY 'password';
 
-- 授予只读权限
GRANT SELECT ON database.* TO 'readonly'@'localhost';
 
-- 刷新权限
FLUSH PRIVILEGES;
```
  解释：上述 SQL 语句创建了一个名为 readonly 的只读用户，并授予该用户对 database 数据库的 SELECT 权限。该用户无法执行 INSERT、UPDATE、DELETE 等操作。
Web 应用防火墙 (WAF)：WAF 可以检测和阻止包含恶意 SQL 代码的请求。你可以配置 WAF 来阻止包含特定模式的请求，例如包含 UNION、SELECT 等关键字的请求。

4. 防范 API 密钥泄露：多重保护，安全存储

API 密钥是用于验证 API 请求身份的凭证。如果 API 密钥泄露，攻击者可以利用该密钥冒充合法用户，访问 API 接口，窃取敏感数据。以下是一些常用的 API 密钥保护策略：

使用环境变量或密钥管理服务：不要将 API 密钥硬编码到代码中。应该将 API 密钥存储在环境变量或密钥管理服务中，例如 AWS Secrets Manager、Azure Key Vault、Google Cloud Secret Manager 等。这可以有效地防止 API 密钥泄露到代码仓库或日志文件中。

配置示例 (AWS Secrets Manager)：

创建密钥：在 AWS Secrets Manager 控制台中创建一个新的密钥，并将 API 密钥存储在该密钥中。
授予权限：授予 Lambda 函数访问该密钥的权限。
在 Lambda 函数中获取密钥：使用 AWS SDK 从 Secrets Manager 中获取 API 密钥。

 const AWS = require('aws-sdk');
 
const secretsManager = new AWS.SecretsManager();
 
exports.handler = async (event) => {
  const secretName = 'my-api-key';
 
  try {
    const data = await secretsManager.getSecretValue({ SecretId: secretName }).promise();
    const secret = JSON.parse(data.SecretString);
    const apiKey = secret.apiKey;
 
    // 使用 API 密钥
    console.log('API 密钥：', apiKey);
 
    return {
      statusCode: 200,
      body: 'Hello World!'
    };
  } catch (error) {
    console.error('获取密钥失败：', error);
    throw error;
  }
};

解释：上述代码使用了 AWS SDK 从 Secrets Manager 中获取名为 my-api-key 的密钥。获取到的密钥存储在 secret 变量中，可以通过 secret.apiKey 访问 API 密钥。

定期轮换 API 密钥：定期更换 API 密钥可以有效地降低密钥泄露的风险。即使攻击者获取了旧的 API 密钥，也无法利用该密钥访问 API 接口。
- 自动化密钥轮换：使用自动化工具来定期轮换 API 密钥。例如，可以使用 AWS Lambda 函数和 CloudWatch Events 来实现自动化密钥轮换。

限制 API 密钥的使用范围：限制 API 密钥可以访问的 API 接口和资源。例如，可以为不同的 API 接口分配不同的 API 密钥，或者限制 API 密钥只能访问特定的数据。

配置示例 (API Gateway Resource Policies):

 {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": "execute-api:Invoke",
      "Resource": "arn:aws:execute-api:region:account-id:api-id/stage/*",
      "Condition": {
        "IpAddress": {
          "aws:SourceIp": ["192.0.2.0/24", "10.0.0.0/16"]
        }
      }
    }
  ]
}

解释: 这个资源策略允许来自特定IP地址范围（192.0.2.0/24 和 10.0.0.0/16）的请求调用API。你可以根据需要修改aws:SourceIp条件来限制密钥的使用范围。

监控 API 密钥的使用情况：监控 API 密钥的使用情况，及时发现异常行为。例如，可以监控 API 密钥的请求数量、请求来源等。
- 配置示例 (AWS CloudTrail)：
  1. 启用 CloudTrail：在 AWS CloudTrail 控制台中启用 CloudTrail，记录所有 API 调用事件。
  2. 创建 CloudWatch Logs 指标过滤器：创建 CloudWatch Logs 指标过滤器，从 CloudTrail 日志中提取 API 密钥的使用情况。
  3. 创建 CloudWatch 告警：创建 CloudWatch 告警，当 API 密钥的使用情况超过预设阈值时发出告警。

5. 其他安全最佳实践

除了上述针对 DDoS 攻击、SQL 注入攻击和 API 密钥泄露的防护策略之外，还有一些其他的安全最佳实践可以帮助你提高 Serverless API 网关的安全性：

启用 HTTPS：使用 HTTPS 加密 API 网关的流量，防止数据在传输过程中被窃取。
使用 CORS (Cross-Origin Resource Sharing)：配置 CORS 策略，限制哪些域名可以访问 API 接口。这可以防止跨站脚本攻击 (XSS)。
禁用不必要的 HTTP 方法：只允许 API 网关接受必要的 HTTP 方法，例如 GET、POST、PUT、DELETE 等。禁用不必要的 HTTP 方法可以减少攻击面。
定期进行安全审计：定期对 API 网关的安全配置进行审计，发现潜在的安全漏洞并及时修复。
保持软件更新：及时更新 API 网关和相关软件的版本，修复已知的安全漏洞。

6. 总结

Serverless API 网关的安全配置是一个复杂而重要的任务。通过采取上述的防护策略和安全最佳实践，你可以有效地提高 Serverless API 网关的安全性，保护你的 Serverless 应用免受攻击。记住，安全是一个持续的过程，需要不断地学习和改进。希望本文能够帮助你更好地理解 Serverless API 网关的安全配置，并为你的 Serverless 应用构建坚固的安全防线。

希望这篇文章对你有所帮助！让我们一起努力，构建更安全、更可靠的 Serverless 应用！

安全架构师小李 Serverless API 网关安全配置

	Resources:
	MyApi:
	Type: AWS::ApiGateway::RestApi
	Properties:
	Name: MyApi
	MyMethod:
	Type: AWS::ApiGateway::Method
	Properties:
	HttpMethod: GET
	RestApiId: !Ref MyApi
	ResourceId: !Ref MyResource
	AuthorizerId: !Ref MyAuthorizer
	ApiKeyRequired: true
	MethodResponses:
	- StatusCode: 200
	Integration:
	Type: AWS_PROXY
	IntegrationHttpMethod: POST
	Uri: arn:aws:apigateway:us-east-1:lambda:path/2015-03-31/functions/${LambdaFunction.Arn}/invocations
	RequestParameters:
	method.request.header.X-Forwarded-For: true #Important for identifying IP addresses behind proxies

	MyUsagePlan:
	Type: AWS::ApiGateway::UsagePlan
	Properties:
	ApiStages:
	- ApiId: !Ref MyApi
	Stage: !Ref MyStage
	Description: Usage plan for MyApi
	Quota:
	Limit: 1000 # Requests per day
	Offset: 0
	Period: DAY
	Throttle:
	BurstLimit: 10 # Maximum burst of requests
	RateLimit: 10 # Requests per second

	const mysql = require('mysql');

	const connection = mysql.createConnection({
	host: 'localhost',
	user: 'user',
	password: 'password',
	database: 'database'
	});

	connection.connect();

	const name = req.body.name;
	const email = req.body.email;

	// 使用参数化查询
	const query = 'INSERT INTO users (name, email) VALUES (?, ?)';
	connection.query(query, [name, email], (error, results, fields) => {
	if (error) throw error;
	console.log('添加用户成功');
	});

	connection.end();

	-- 创建只读用户
	CREATE USER 'readonly'@'localhost' IDENTIFIED BY 'password';

	-- 授予只读权限
	GRANT SELECT ON database.* TO 'readonly'@'localhost';

	-- 刷新权限
	FLUSH PRIVILEGES;

	const AWS = require('aws-sdk');

	const secretsManager = new AWS.SecretsManager();

	exports.handler = async (event) => {
	const secretName = 'my-api-key';

	try {
	const data = await secretsManager.getSecretValue({ SecretId: secretName }).promise();
	const secret = JSON.parse(data.SecretString);
	const apiKey = secret.apiKey;

	// 使用 API 密钥
	console.log('API 密钥：', apiKey);

	return {
	statusCode: 200,
	body: 'Hello World!'
	};
	} catch (error) {
	console.error('获取密钥失败：', error);
	throw error;
	}
	};

	{
	"Version": "2012-10-17",
	"Statement": [
	{
	"Effect": "Allow",
	"Principal": "*",
	"Action": "execute-api:Invoke",
	"Resource": "arn:aws:execute-api:region:account-id:api-id/stage/*",
	"Condition": {
	"IpAddress": {
	"aws:SourceIp": ["192.0.2.0/24", "10.0.0.0/16"]
	}
	}
	}
	]
	}

Serverless API 网关安全配置全攻略：防范 DDoS、SQL 注入与密钥泄露

Serverless API 网关安全配置全攻略：防范 DDoS、SQL 注入与密钥泄露

1. 为什么 API 网关安全至关重要？

2. 防范 DDoS 攻击：多管齐下，构建坚固防线

3. 防范 SQL 注入攻击：严格校验，安全编码

4. 防范 API 密钥泄露：多重保护，安全存储

5. 其他安全最佳实践

6. 总结

Serverless API 网关安全配置全攻略：防范 DDoS、SQL 注入与密钥泄露

1. 为什么 API 网关安全至关重要？

2. 防范 DDoS 攻击：多管齐下，构建坚固防线

3. 防范 SQL 注入攻击：严格校验，安全编码

4. 防范 API 密钥泄露：多重保护，安全存储

5. 其他安全最佳实践

6. 总结

评论点评