如何在AWS Lambda（SAM+MySQL）的API调用中指定大于条件参数

问题本质 #

HTTP查询参数的标准格式是key=value，size>8这种写法不符合规范，导致API网关将整个size>8识别为参数键、值为空，进而生成错误的SQL语句。要支持大于/小于等比较条件，需要调整参数传递格式并修改函数内的解析逻辑，而非仅靠template.yaml配置。

解决方案步骤 #

1. 调整请求参数格式

放弃size>8的写法，改用约定格式传递字段、操作符和值，常见两种方式：

• 方式一：用后缀区分操作符，例如：

  GET http://127.0.0.1:3000/package?size__gt=8
  

  其中__gt代表大于（greater than），同理可用__lt表示小于，__gte表示大于等于，__lte表示小于等于。
• 方式二：在值中包含操作符，例如：

  GET http://127.0.0.1:3000/package?size=gt:8
  

2. 修改函数内的参数解析逻辑

以Node.js为例，解析参数并生成正确的SQL查询（使用参数化查询避免SQL注入）：

const queryParams = event.queryStringParameters || {};
let whereClauses = [];
let queryValues = [];

// 遍历所有查询参数
for (const [paramKey, paramValue] of Object.entries(queryParams)) {
  // 处理带__gt后缀的参数
  if (paramKey.endsWith('__gt')) {
    const fieldName = paramKey.slice(0, -4);
    whereClauses.push(`\`${fieldName}\` > ?`);
    queryValues.push(paramValue);
  }
  // 处理带__lt后缀的参数
  else if (paramKey.endsWith('__lt')) {
    const fieldName = paramKey.slice(0, -4);
    whereClauses.push(`\`${fieldName}\` < ?`);
    queryValues.push(paramValue);
  }
  // 默认处理等于条件
  else {
    whereClauses.push(`\`${paramKey}\` = ?`);
    queryValues.push(paramValue);
  }
}

// 组装最终SQL语句
const baseQuery = 'SELECT * from `package`';
const finalQuery = whereClauses.length 
  ? `${baseQuery} WHERE ${whereClauses.join(' AND ')}`
  : baseQuery;

// 执行参数化查询（示例使用mysql2库）
const [rows] = await connection.execute(finalQuery, queryValues);

3. template.yaml的辅助配置（以AWS SAM为例）

RequestParameters主要用于网关层面的参数校验，而非解析逻辑。如果需要对参数做类型或必填性校验，可以添加如下配置：

Resources:
  PackageApiFunction:
    Type: AWS::Serverless::Function
    Properties:
      Handler: index.handler
      Runtime: nodejs18.x
      Events:
        GetPackageData:
          Type: Api
          Properties:
            Path: /package
            Method: get
            RequestParameters:
              # 校验size__gt参数为可选数字类型
              - method.request.querystring.size__gt:
                  Required: false
                  Type: Number
              # 校验size参数为可选数字类型
              - method.request.querystring.size:
                  Required: false
                  Type: Number

关键注意事项 #

必须使用参数化查询（Prepared Statement）拼接SQL，禁止直接将用户输入的参数拼接到SQL字符串中，否则会导致严重的SQL注入漏洞。

内容的提问来源于stack exchange，提问作者kung.fuji