Android直连AWS RDS MariaDB转安全中间层的低阻力方案咨询

一、快速搭建中间层：AWS Lambda + API Gateway #

这是最贴合你需求的低改动方案，无需自行维护服务器：

• 核心架构：用Lambda函数封装现有SQL逻辑，将数据库凭据存储在Lambda环境变量中（禁止硬编码），通过VPC内网访问RDS——这样RDS就不用暴露在公网了。
• API封装：借助API Gateway将Lambda包装为RESTful API，Android端直接调用这些API，不再发送原始SQL。
• 最小改动技巧：
  • 把Android里的每个SQL查询对应成一个Lambda函数，比如原SELECT * FROM users WHERE id = ?对应getUserById Lambda。
  • Lambda内直接复用现有SQL，仅需把参数从API请求的体/查询参数中提取，避免重写业务逻辑。

二、半自动SQL转API的实用思路 #

没有完全自动的工具，但这些方法能大幅减少重复劳动：

• 批量代码生成：
  1. 提取Android中所有SQL语句，按增删改查分类。
  2. 用Python/Shell脚本批量生成Lambda基础代码模板——输入SQL和参数，自动生成接收参数、执行SQL、返回结果的Lambda代码。
  3. 利用MariaDB的INFORMATION_SCHEMA获取表结构，辅助生成API的请求/响应模型。
• 轻量ORM辅助：若愿意引入轻量ORM（如Java的MyBatis、Python的SQLAlchemy），可快速将SQL映射为数据访问层方法，再包装成API接口。

三、用户认证与请求校验实现 #

用户认证 #

用AWS Cognito搞定Android端用户认证：

• Android集成Cognito SDK，用户登录后获取JWT令牌。
• API Gateway配置Cognito授权器，仅允许携带有效JWT的请求访问API。
• Lambda可从请求上下文获取用户信息，用于后续权限判断。

请求校验与权限管控 #

• Lambda层校验：
  1. 针对不同用户角色（普通用户/管理员），在Lambda内判断是否允许执行对应操作——比如禁止普通用户调用删除表的逻辑。
  2. 校验请求参数合法性，比如ID必须为数字、字符串长度符合要求，进一步防范SQL注入（配合参数化查询双重保障）。
• RDS权限加固：给Lambda使用的数据库账号配置最小权限，比如普通查询账号仅允许执行SELECT/INSERT，禁止DROP/ALTER——就算校验出现疏漏，RDS层面也能拦截危险操作。

四、替代方案：AWS AppSync（适合复杂数据访问场景） #

如果你的应用有大量数据查询需求，AppSync可直接将GraphQL请求映射到RDS，省去大量Lambda代码编写：

• 定义GraphQL Schema，与数据库表结构对应。
• 配置AppSync数据源为RDS，自动生成CRUD操作。
• Android端用AppSync SDK发送GraphQL请求，自带Cognito认证和请求校验能力。
• 优势：比手动编写Lambda更高效，适合快速迁移现有数据访问逻辑。

总结 #

优先选择Lambda+API Gateway组合，能最大程度复用现有SQL逻辑，改动成本最低；用Cognito实现用户认证，Lambda+RDS权限管控实现请求校验；批量代码生成工具可帮你半自动生成API代码，减少重复工作。

内容的提问来源于stack exchange，提问作者AutoM8R