非暴露的NodeJS应用如何订阅SNS主题？有何适配的PaaS方案？

你的核心问题是选错了SNS订阅协议，HTTP/HTTPS类订阅本来就是面向公开Web端点设计的，针对内部无公开端点的服务，AWS原生提供了更适配的托管方案，不需要自行部署RabbitMQ类实例：

方案1：SNS + SQS 扇出模式（最推荐） #

这个方案本质是托管版的发布订阅模式，和你之前用RabbitMQ实现的逻辑完全一致，SNS对应RabbitMQ的交换机，SQS对应消费端私有队列，全程不需要暴露你的NodeJS应用任何端点，也不需要额外运维：

• 新建一个专属的SQS队列，用于存储Lambda执行结果通知，可根据需求选择标准队列（高吞吐）或FIFO队列（严格顺序、去重）
• 为该SQS队列配置资源策略，允许你的SNS主题向队列发送消息，示例策略片段：

{
  "Effect": "Allow",
  "Principal": {
    "Service": "sns.amazonaws.com"
  },
  "Action": "sqs:SendMessage",
  "Resource": "你的SQS队列ARN",
  "Condition": {
    "ArnEquals": {
      "aws:SourceArn": "你的SNS主题ARN"
    }
  }
}

• 在SNS主题中新增订阅，协议选择SQS，端点填写上述SQS队列的ARN，该订阅由AWS内部自动完成确认，无需任何外部端点验证
• 修改Lambda逻辑，执行完成后将结果、唯一请求标识（用于NodeJS侧匹配对应请求）发布到SNS主题，消息会自动同步到绑定的SQS队列
• NodeJS应用侧通过AWS SDK调用SQS的receiveMessage接口开启长轮询（设置WaitTimeSeconds参数为10~20），无消息时请求会挂起不占用资源，有消息到达时会立即返回，拿到消息后匹配对应请求处理完成后调用deleteMessage删除队列中的消息即可。

这个方案相比你之前轮询Mongo的模式，资源消耗极低，延迟也可控，完全符合事件驱动的要求。

方案2：EventBridge 自定义事件总线 #

如果你的场景后续有多个不同类型的消费者需要消费Lambda执行结果，也可以替换SNS为EventBridge自定义事件总线：

• 创建自定义事件总线，配置Lambda执行完成后向总线发送事件
• 为NodeJS应用对应的SQS队列配置事件规则，匹配对应事件后投递到队列
• NodeJS侧的消费逻辑和方案1完全一致。

原有SNS订阅问题说明 #

SNS的Endpoint验证要求仅针对HTTP/HTTPS、邮件、短信这类面向外部终端的订阅协议，对于AWS内部服务的订阅（如SQS、Lambda等）完全不需要外部验证，直接在控制台或调用API完成配置即可自动生效。

内容的提问来源于stack exchange，提问作者Ernani