如何验证AWS API Gateway WebSocket发起的后端调用请求合法性

AWS WebSocket API 目前确实不支持 REST API 那种阶段级别的客户端SSL证书配置，你可以通过以下几种方案实现请求来源校验：

方案1：集成侧配置SigV4签名校验 #

• 配置WebSocket API的HTTP后端集成时，选择AWS SigV4签名作为集成授权类型，分配一个专用的IAM角色给API Gateway作为集成调用身份，填写对应后端的服务名、区域信息。
• 你的后端收到请求后，校验请求携带的SigV4签名是否合法，确认签名对应的身份是你分配给API Gateway的IAM角色即可放行，这个方案是AWS原生的身份校验机制，安全性最高。

方案2：自定义机密请求头校验 #

• 在WebSocket API的集成请求配置中，新增一个自定义请求头，比如X-APIGW-Internal-Secret，值设置为你自行生成的高强度随机密钥，该密钥仅保存在API Gateway集成配置和你的后端服务中，不对外公开。
• 后端每次收到请求先校验该请求头的值是否和预设值一致，不一致直接拦截，该方案实现成本极低，适合绝大多数业务场景。

方案3：来源IP段白名单限制 #

• 你可以在后端的安全组、WAF或防火墙规则中，仅放行对应区域AWS API Gateway服务的公网IP段，非白名单IP的请求直接在网络层拦截。
• 注意需要定期同步AWS官方发布的服务IP段更新，避免IP段变动导致正常请求被拦截。

如果你的后端部署在AWS VPC内，更推荐你将API Gateway集成配置为VPC私有链路集成，让API Gateway通过内网访问你的后端，完全不把后端暴露到公网，从网络层面杜绝非法请求的可能。

内容的提问来源于stack exchange，提问作者Butzlabben