关于AWS API Gateway与WAF文件上传大小限制的合规场景咨询

针对你遇到的“必须通过API Gateway+WAF但文件大小超限制”的矛盾，这是企业对接大型合规客户时的普遍场景，以下是可行的技术方案：

方案一：预签名URL+网关管控核心流程 #

这是AWS生态下最常用的大文件上传合规方案，既满足所有业务请求经过API Gateway+WAF的要求，又绕开大小限制：

• 流程逻辑：
  1. 客户端先向API Gateway发起上传申请请求（仅携带文件名、大小、类型、用户身份等元数据），该请求体积远低于8KB，会经过WAF的规则校验和API Gateway的认证/授权。
  2. 后端服务（如Lambda、ECS）校验通过后，生成S3预签名上传URL返回给客户端。预签名URL是有时间限制、权限可控的临时访问凭证。
  3. 客户端直接通过预签名URL向S3上传大文件，此步骤无需经过API Gateway，但上传权限已由之前的网关流程严格管控。
  4. 上传完成后，客户端向API Gateway发送上传完成通知，再次经过WAF和网关校验，后端完成后续业务逻辑（如文件入库、状态同步）。
• 合规性说明：所有关键的业务校验、身份认证、权限控制都通过API Gateway+WAF完成，文件直传S3是经过授权的合规操作，完全符合大型客户的“集中式管控”要求。

方案二：API Gateway分片上传（适合中小大文件） #

如果客户严格要求所有文件传输流量必须经过API Gateway，可以采用分片上传方式：

• 将大文件拆分为多个≤10MB（API Gateway限制）且≤8KB（WAF限制）的分片，客户端逐片通过API Gateway上传。
• 后端服务（如Lambda）接收分片后，在S3中调用CompleteMultipartUpload接口合并文件。
• 注意：WAF的请求体大小限制可通过Web ACL配置调整至最大16KB，若文件分片需要更大体积，需确认WAF规则是否允许调整，此方案相比预签名URL效率较低，适合文件体积不是特别大的场景。

关键配套配置 #

• 权限加固：通过S3 Bucket Policy限制预签名URL的访问范围（如仅允许指定客户端IP、仅允许PUT操作），防止未授权访问。
• 审计日志：开启API Gateway访问日志、S3访问日志，所有请求和文件操作留痕，满足合规审计要求。
• 完整性校验：在上传申请阶段约定文件MD5值，上传完成后校验S3中文件的MD5，确保文件传输无损坏。

内容的提问来源于stack exchange，提问作者stackdisplay