将用户输入直接传入DynamoDB是否安全？含分区键场景分析

我编写了一个Node.ts函数，直接将用户输入的message和partitionkey传入DynamoDB的put方法，代码如下：

// user input is message
async addtodb(message: string, partitionkey: string) {
        const params: AWS.DynamoDB.DocumentClient.PutItemInput = {
          TableName: this.tablename,
          Item: {
            [this.key]: partitionkey,
            id: id,
            message,
          },
        };
        return await dynamodb.put(params).promise();
    };

我看过关于“是否可以安全使用用户输入作为DynamoDB分区键”的讨论，但仍对分区键的安全性存疑。我知道安全开发的核心原则是绝不信任用户输入，想请教这个原则是否适用于当前场景？

补充提示：解决方案核心是缩小查询/操作范围。

结论：这个原则完全适用于你的场景 #

直接把用户输入当分区键存在明确的安全和性能风险：

• 数据被恶意覆盖：DynamoDB的put操作会根据主键（分区键+排序键）覆盖已有数据，恶意用户可以构造特定分区键值，覆盖其他用户的合法数据。
• 引发分区热点：如果恶意用户反复用同一个分区键写入数据，会导致该分区负载暴增，拖垮整个表的性能。
• 后续逻辑的潜在风险：虽然DynamoDB的客户端会自动处理参数转义，避免类似SQL注入的问题，但如果后续有基于分区键的查询逻辑未做限制，仍可能被用来遍历或访问敏感数据。

优化建议 #

1. 对分区键做校验和转换：
   • 限制分区键的格式（比如只允许字母、数字、下划线）和长度（建议1-64字符，符合DynamoDB的主键限制）。
   • 不要直接用原始用户输入当分区键，可通过哈希算法（比如SHA-256）转换后再存储，原始输入可以作为单独的字段保存（如果业务需要）。
2. 绑定用户身份：把用户ID（或其他可信身份标识）作为分区键的一部分，比如user-1234-xxx，确保每个用户只能操作自己的数据分区，避免越权。
3. 严格控制操作范围：按照补充提示的思路，缩小put操作的目标范围，比如通过IAM策略或应用层逻辑，限制函数只能写入特定前缀的分区键，或者只能操作属于当前用户的数据。

内容的提问来源于stack exchange，提问作者Jonathan Coletti