AWS API Gateway URL是否永久唯一？删除后他人能否复用该端点？

• 核心结论：存在他人有意或无意注册相同端点URL并接收你数据的可能性。
• 具体分析：
  • 若使用自定义域名作为API网关的公网入口，当你删除网关后如果未保留该域名的控制权，其他人可以注册这个域名并配置自己的API网关，从而接收原本发往该域名的数据。
  • 对于AWS默认的execute-api域名，其路径中的API ID在你删除网关后会被释放回AWS资源池，虽然由于资源池体量庞大，该ID被重新分配给其他用户的概率极低，但并非完全不可能。
• 风险规避方案：
  • 若用了自定义域名，删除网关后务必保留域名控制权，或及时注销并锁定该域名。
  • 立即更新cron job的目标URL，停止向已释放的端点发送数据。
  • 给发送的数据添加身份验证（比如API密钥、请求签名），即便端点被复用，未授权接收方也无法正常获取或使用数据。

内容的提问来源于stack exchange，提问作者Mohammad Ali