如何保护部署在AWS ECS集群的Node.js移动端后端？

问题1：在互联网网关层过滤非移动端发起的请求 #

AWS Internet Gateway仅负责网络路由，不具备内容检查和过滤能力，更务实的方案是在ALB前端搭配AWS WAF实现精准拦截，推荐以下几种验证方式组合使用：

• 自定义User-Agent校验：在iOS/Android APP中设置专属的User-Agent（例如MyApp-iOS/v2.1.0或MyApp-Android/v2.1.0），在WAF中创建规则，仅允许携带该标识的请求通过。注意：User-Agent可被伪造，需搭配其他验证手段。
• 自定义签名头验证：APP发起请求时，对请求参数、时间戳、请求路径等生成HMAC签名，放在自定义请求头（如X-App-Signature）中。通过WAF集成Lambda来验证签名的有效性，只有签名匹配的请求才能进入ALB。这种方式伪造成本极高，安全性更强。
• JWT前置验证：利用WAF的Lambda集成，提前验证JWT的签名、过期时间，同时解析JWT中自定义的client_type字段（需在APP生成令牌时加入该字段），仅允许标记为移动端的令牌通过，从入口处拦截非移动端请求。

问题2：在ALB层面实现速率限制以抵御DDoS #

AWS ALB原生支持基于源IP的速率限制，无需依赖后端Node.js代码，配置步骤如下：

1. 进入AWS控制台的ALB监听器配置页面，选择目标HTTPS监听器。
2. 创建新规则：添加“源IP”条件（可指定全局范围或特定IP段），然后添加“限制速率”操作。
3. 设置速率阈值（例如每分钟50次请求），以及超出阈值后的处理动作（如返回429状态码或直接拦截）。

补充优化建议：

• 若攻击者使用分布式IP发起攻击，单纯源IP限制效果有限，可搭配AWS WAF的速率规则，支持基于自定义键（如JWT中的用户ID、请求头中的自定义标识）进行速率限制。
• 启用AWS Shield Advanced，它会自动识别并缓解大规模DDoS攻击，与ALB的速率限制形成多层防护体系。

内容的提问来源于stack exchange，提问作者Etienne Herlaut