如何保障前端向AWS SQS推送消息的安全性？

可以直接从浏览器端的前端应用通过Ajax调用SQS推送消息，无需后端服务器参与，示例API调用如下：

https://sqs.us-east-2.amazonaws.com/123456789012/TestQueue/?Action=SendMessage&MessageBody=This+is+a+test+message

即便前端应用已完成用户身份验证，该SQS API端点仍可能被他人获取并用于发送虚假消息。请问是否有办法直接安全调用该API，或是必须在浏览器与SQS之间部署后端服务器以实现身份验证机制？

完全可以不用额外部署后端服务器，通过AWS原生机制实现前端安全调用SQS API，核心思路是临时权限凭证+细粒度IAM权限控制，具体方案如下：

• 用AWS Cognito身份池生成临时凭证
  如果你已有前端用户验证体系（比如Cognito用户池、自定义OIDC认证），可以对接Cognito身份池，为已认证用户生成受限制的临时IAM凭证。这些凭证会通过AWS SDK for JavaScript自动注入API请求，不会暴露长期密钥。

• 配置最小权限的IAM角色策略
  为Cognito身份池关联的IAM角色编写严格的权限策略，仅允许调用SendMessage动作，且限定到目标SQS队列，还可通过条件键进一步约束：

  • 用aws:SourceIp限制请求来源IP范围（适合固定场景）
  • 用cognito-identity.amazonaws.com:sub绑定特定用户ID，确保只有该用户能发送消息
  • 用sqs:MessageBody条件判断限制消息格式或内容，拦截恶意消息

  示例策略片段：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": "sqs:SendMessage",
        "Resource": "arn:aws:sqs:us-east-2:123456789012:TestQueue",
        "Condition": {
          "StringEquals": {
            "cognito-identity.amazonaws.com:sub": "${cognito-identity.amazonaws.com:sub}"
          }
        }
      }
    ]
  }
  

• 启用SQS服务器端加密（SSE）
  开启队列的服务器端加密，确保消息在传输和存储过程中不会被篡改或泄露，提升数据安全性。

• 前端请求自动签名
  使用AWS SDK for JavaScript发起请求时，SDK会自动用临时凭证对请求签名，SQS服务端会验证签名合法性，防止请求被篡改或伪造。

如果上述方案无法满足复杂的业务校验需求（比如需自定义规则校验消息内容），再考虑部署后端服务器作为代理，由后端完成身份验证、消息校验后再转发至SQS。

内容的提问来源于stack exchange，提问作者engg