如何保护公开的Lambda Function URL免受滥用攻击？

• 启用IAM身份验证：如果你的Lambda仅对特定AWS身份（如IAM用户、角色）开放，开启IAM认证后，只有携带有效签名的请求才能访问Function URL，直接拦截未授权的公网请求。
• 配置CORS规则：限制允许的来源域名、HTTP方法和请求头，只让可信的前端或服务发起跨域请求，减少恶意跨域攻击的可能。
• 部署AWS WAF：在Lambda Function URL前配置WAF，设置规则拦截SQL注入、XSS等常见Web攻击，同时通过速率限制（如限制单IP每分钟请求次数）、IP白名单/黑名单过滤异常流量。
• 自定义速率限制：结合DynamoDB或Redis在Lambda内部实现速率限制逻辑，记录每个客户端IP的请求频次，超过阈值直接拒绝服务，缓解垃圾请求压力。
• 添加请求校验逻辑：在Lambda代码里验证请求参数、请求头，比如校验API密钥、JWT令牌（面向用户场景），确保只有合法请求进入业务处理环节。
• 设置并发限制：配置Lambda的最大并发数和预留并发，避免恶意请求耗尽函数资源，同时保障合法请求的可用性，防止意外账单激增。
• 监控与告警：通过CloudWatch监控请求数、错误率、延迟等指标，设置告警阈值，异常流量出现时及时收到通知，快速响应攻击。
• 避免暴露敏感信息：不要在Function URL的路径、查询参数中传递密钥、用户ID等敏感数据，防止被攻击者抓取利用。

内容的提问来源于stack exchange，提问作者Marc