如何从外部WordPress网站安全访问AWS DynamoDB数据库？

以下是几个维护性好、安全性高的方案，避免直接暴露DynamoDB给外部系统：

方案一：API Gateway + Lambda 中间层（最推荐） #

这是AWS生态下最常用的外部访问DynamoDB的模式，完全托管、易维护：

1. 创建Lambda函数：用Python或Node.js编写函数，通过AWS SDK（如boto3）查询DynamoDB中指定商品的价格时序数据。函数仅保留查询权限，通过IAM角色绑定最小权限原则，绝不赋予写入/删除等不必要权限。
2. 配置API Gateway：创建REST API，将Lambda函数作为后端集成。设置GET方法，路径设为/product-price/{product-id}，匹配商品独立页面的按需查询需求。
3. 安全控制：
   • 启用API Gateway的API密钥认证，给WordPress分配专属密钥，调用时在请求头携带。
   • 配置API Gateway的资源策略，仅允许WordPress服务器的公网IP访问，同时设置请求频率限制防止滥用。
   • Lambda函数内部做参数校验，仅允许合法的商品ID查询，拦截恶意请求。
4. WordPress端实现：在商品页面的自定义模板中，用wp_remote_get()函数调用API Gateway接口，拿到JSON格式的价格数据后，用Chart.js等前端库渲染折线图。

方案二：AWS AppSync（GraphQL 接口） #

如果需要更灵活的数据查询（比如多条件筛选、关联数据），AppSync是托管的GraphQL服务，维护成本低：

1. 创建AppSync API：定义GraphQL Schema，例如：

   type ProductPrice { 
     id: ID!, 
     productId: String!, 
     price: Float!, 
     timestamp: AWSDateTime! 
   }
   type Query {
     getProductPrices(productId: String!): [ProductPrice]
   }
   

2. 配置数据源：将DynamoDB表作为数据源，映射查询操作到DynamoDB的Query动作，通过IAM角色配置最小查询权限。
3. 安全配置：启用API密钥或IAM认证，同时设置IP白名单限制访问来源。
4. WordPress端实现：用PHP的GraphQL客户端库（如结合guzzlehttp/guzzle构造查询）发送请求，获取数据后渲染图表。

方案三：同步数据到RDS + 安全API层（若偏好SQL数据库） #

如果更习惯使用SQL数据库，可以先将DynamoDB的价格数据同步到AWS RDS（如MySQL），再通过API层暴露：

1. 数据同步：用AWS Lambda + DynamoDB Streams实时同步新的价格数据到RDS表；或用Glue做定期全量/增量同步。
2. API层搭建：同样用API Gateway + Lambda查询RDS，或搭配RDS Proxy提升连接效率和安全性。
3. WordPress端：调用API获取SQL查询结果，绝不直接连接RDS（API层能更好地控制权限和防护攻击）。

关键安全注意事项 #

• 绝对不要在WordPress代码或配置中存储AWS Access Key/Secret，所有权限通过IAM角色分配给中间服务（Lambda/AppSync）。
• 所有外部接口必须启用认证和IP白名单，杜绝未授权访问。
• 中间服务仅分配必要的最小权限，比如只能查询指定DynamoDB表，禁止修改数据。

内容的提问来源于stack exchange，提问作者tonkotsu