部署在AWS的Angular单页应用如何安全通过HTTP-Client向API Gateway传密

核心疑问解答 #

你在浏览器开发者工具里看到的明文请求/响应，是浏览器完成HTTPS解密后展示的内容，实际客户端与API Gateway之间的传输链路是全程加密的。只要你的API Gateway配置了HTTPS（这是AWS API Gateway的默认配置，除非手动修改），从Angular应用到API Gateway的流量就不会以明文形式在互联网上传输，密码这类敏感数据是安全的。

确认HTTPS加密生效的方法 #

• 检查API Gateway端点：确保调用的API地址以https://开头，而非http://。AWS API Gateway的默认域名（如xxxx.execute-api.region.amazonaws.com）本身支持HTTPS；如果绑定了自定义域名，要确认该域名在证书管理器中配置了有效证书，且API Gateway自定义域名已关联该证书。
• 查看网络请求协议：在浏览器开发者工具的Network面板中，每条请求的Protocol列会显示h2或HTTP/2（对应HTTPS），若显示http/1.1且无SSL标识才是明文HTTP。
• 验证证书有效性：点击浏览器地址栏的锁图标，查看证书详情，确认API Gateway域名的证书有效且受信任。

额外安全优化建议 #

• 强制API Gateway仅接受HTTPS：在API Gateway的阶段设置中启用“强制HTTPS”，拒绝所有HTTP请求，避免代码失误调用明文端点。
• 优化敏感数据传输：
  • 密码仅在登录请求中传输，登录成功后改用令牌（如JWT）进行后续身份验证，避免重复传输密码。
  • 对请求体中的敏感字段可额外做前端加密（如AES加密），即使传输层加密出现极低概率的意外，也能增加防护层级。
• 启用AWS WAF防护：为API Gateway配置WAF规则，拦截SQL注入、XSS等常见攻击，保护后端Lambda安全。
• 开启API访问日志：在API Gateway中启用访问日志，记录请求来源、状态码等信息，便于追踪异常访问行为。
• 禁止前端硬编码敏感信息：绝对不要将API密钥、数据库凭证等敏感内容硬编码在Angular代码中，这类信息应存放在后端Lambda或AWS Secrets Manager中。

内容的提问来源于stack exchange，提问作者diy55