在AWS Lambda中为基于Gin的Go HTTP API实现mTLS的方案咨询

我使用github.com/gin-gonic/gin库搭建了一个支持mTLS的Go HTTP API，代码示例如下：

router := gin.New()
router.GET("/ping", handlers.GinHandler{GC: globalConf, H: handler.Ping}.Handle())

// 为简化代码省略了错误检查逻辑
caCert, _ := ioutil.ReadFile("ca.crt")
caCertPool, _ := x509.SystemCertPool()
caCertPool.AppendCertsFromPEM(caCert)

tlsConfig := &tls.Config{
    ClientCAs:  caCertPool,
    ClientAuth: tls.RequireAndVerifyClientCert,
}

server := &http.Server{
    Addr:      ":" + "8443",
    TLSConfig: tlsConfig,
    Handler:   router,
}

server.ListenAndServeTLS("ssl.crt", "ssl.key")

由于需要兼容AWS Lambda，我需要使用github.com/apex/gateway，但该库仅提供ListenAndServe函数，没有net/http包中的ListenAndServeTLS函数。

请问：

• 是否可以在AWS Lambda函数内部实现mTLS？
• 如果必须在API Gateway中实现mTLS，能否将证书转发给Go应用/Lambda函数以检查CN？

Lambda内部实现mTLS不可行 #

Lambda运行环境无法直接处理TLS握手：

• Lambda接收的请求是由AWS基础设施（如API Gateway、ALB）转发的解密后HTTP流量，不存在TLS层交互，函数内部无法触发mTLS验证流程。
• apex/gateway仅负责将Lambda事件转换为标准net/http请求，不具备TLS处理能力，因此无法在Lambda内部完成mTLS验证。

推荐方案：在API Gateway层实现mTLS #

这是AWS官方推荐的最佳实践，具体步骤如下：

1. 配置API Gateway mTLS：在API Gateway自定义域名下启用mTLS，上传你的CA证书，API Gateway会自动验证客户端证书有效性，仅通过验证的请求才会转发至Lambda。
2. 转发证书信息至Lambda：API Gateway支持通过请求头将客户端证书相关信息转发给Lambda，你可以在Go代码中读取这些信息检查CN：
   • API Gateway会添加X-Forwarded-Client-Cert请求头，该头包含Base64编码的客户端证书DER数据、CN、有效期等信息。
   • 在Gin处理器中解析该头并检查CN的示例代码：

     func Ping(c *gin.Context) {
         clientCertHeader := c.GetHeader("X-Forwarded-Client-Cert")
         if clientCertHeader == "" {
             c.AbortWithStatusJSON(http.StatusUnauthorized, gin.H{"error": "missing client cert info"})
             return
         }
     
         // 解析请求头中的证书数据
         parts := strings.Split(clientCertHeader, ";")
         var certStr string
         for _, part := range parts {
             if strings.HasPrefix(part, "Cert=") {
                 certStr = strings.TrimPrefix(part, "Cert=")
                 break
             }
         }
     
         certDER, err := base64.StdEncoding.DecodeString(certStr)
         if err != nil {
             c.AbortWithStatusJSON(http.StatusBadRequest, gin.H{"error": "invalid cert data"})
             return
         }
     
         cert, err := x509.ParseCertificate(certDER)
         if err != nil {
             c.AbortWithStatusJSON(http.StatusBadRequest, gin.H{"error": "failed to parse cert"})
             return
         }
     
         // 检查CN是否符合预期
         expectedCN := "your-expected-cn"
         if cert.Subject.CommonName != expectedCN {
             c.AbortWithStatusJSON(http.StatusUnauthorized, gin.H{"error": "invalid CN"})
             return
         }
     
         c.JSON(http.StatusOK, gin.H{"message": "pong"})
     }
     

总结 #

Lambda内部无法实现mTLS，必须在API Gateway层完成mTLS验证，同时可通过请求头将证书信息转发至Lambda，在Go代码中检查CN等字段。

内容的提问来源于stack exchange，提问作者user2397282