在AWS API Gateway中使用查询字符串API密钥的最佳实践及密钥托管问询

直接在查询字符串携带API密钥是不是最佳实践？ #

绝对不是。这种方式存在严重安全风险：

• 查询参数会被广泛记录：API Gateway访问日志、CDN日志、客户端浏览器历史、代理服务器日志等都会留存URL内容，密钥极易泄露。
• 即便使用HTTPS，URL查询部分虽会加密，但一旦日志泄露，密钥直接暴露；若配置失误走HTTP，密钥会明文传输，风险更高。

能不能将API密钥托管在API Gateway中，避免暴露给客户端？ #

完全可以，具体实现方式如下：

• 利用集成请求参数映射：在目标路由的集成请求配置里，直接配置后端服务需要的API密钥。优先将密钥存在加密的参数存储（比如AWS Systems Manager Parameter Store），也可在API Gateway集成设置中指定固定值（不建议硬编码），然后设置自动将密钥添加到转发给后端的请求头或查询参数中。
• 以AWS API Gateway为例：在对应路由的「集成请求」里，找到「查询字符串」配置，添加后端需要的api_key参数，值设为你的密钥（或从参数存储引用）。这样客户端只需传递language、pageNum、region这类业务参数，API Gateway会自动补全密钥后转发给后端服务，客户端全程不会接触到该密钥。
• 额外建议：如果需要验证客户端身份，别让客户端使用后端服务的密钥，改用API Gateway自带的API密钥管理（配合使用计划），让客户端把身份验证密钥放在x-api-key请求头里，比放在URL里安全得多；也可采用IAM身份验证、JWT令牌等更严谨的方式。

内容的提问来源于stack exchange，提问作者RasMason