移动应用选型AWS HTTP API网关是否可行？安全与权限问题咨询

问题1：不启用API密钥直接使用HTTP API网关是否存在安全风险？ #

在你的业务场景下，不启用API密钥不会引入额外安全风险，核心依据如下：

• API密钥本身是AWS提供的粗粒度用量管控、非敏感场景下的客户端标识工具，不属于强安全能力，默认明文传输极易被抓包窃取，官方也明确不推荐将其作为API访问控制的唯一校验手段，即使REST API网关支持该功能，也不能替代Cognito身份认证体系的作用
• 你已经配置了Cognito授权器做身份校验，只有已登录的合法用户持有有效令牌才能访问API，已经完全覆盖"仅允许已登录用户访问"的核心安全需求
• 你的后端服务为内部Lambda和内部ALB暴露的服务，没有公网直接暴露的入口，网关层的身份校验已经形成完整的访问控制闭环

问题2：限制仅自有移动应用发起的请求可访问API的实现方式 #

HTTP API网关场景下可以通过以下几种方案实现客户端合法性校验，完全可以替代API密钥的客户端识别作用，且安全性更高：

• 客户端签名校验（强校验方案） #

  移动应用端内置非对称加密私钥，所有请求发起时，对请求路径、请求参数、当前时间戳、设备唯一标识等信息组合生成签名，将签名、时间戳、设备标识统一放入自定义请求头。在HTTP API网关配置Lambda授权器，校验签名合法性、时间戳是否在有效期（建议设置为前后5分钟，避免重放攻击），即可拦截所有非自有客户端发起的伪造请求。如果对防反编译要求高，可以配合客户端代码混淆、私钥白盒加密方案，降低私钥泄露风险。

• Cognito自定义属性校验（轻量方案） #

  复用现有Cognito架构，配置Cognito的Pre Token Generation触发器，用户登录时先校验请求是否来自自有移动应用的合法客户端（比如校验移动应用内置的专属客户端ID、设备校验参数），校验通过后才发放访问令牌，同时可以在令牌中注入自定义的client_legitimate标识。网关层的Cognito授权器可以直接校验该自定义标识是否存在且合法，即可避免非自有应用持合法用户令牌访问API。

• WAF前置防护（补充方案） #

  在HTTP API网关前置绑定AWS WAF，配置规则拦截异常UA、不符合移动应用请求特征的访问，同时添加速率限制规则，拦截批量恶意攻击请求，作为身份校验之外的补充防护层。

内容的提问来源于stack exchange，提问作者user3849960