AWS Lambda Proxy API未将查询字符串传递到VPCE服务器问题求助

问题根因 #

1. Lambda代码内查询参数拼接逻辑存在缺陷
2. 前置API Gateway未配置查询参数传递规则
3. VPCE或中间网络节点过滤了URL查询参数
4. 请求头配置缺失导致私有端点重写路径丢失参数

解决方案 #

1. 修正Lambda代码逻辑 #

原代码存在查询参数判断不严谨、变量作用域不明确、请求头缺失的问题，修正后参考代码如下：

const querystring = require('querystring');
const https = require('https');
const invokeHostname = '10.10.3.221'; // 替换为实际VPCE私有地址
const basePath = '/api/test/get_something'; // 替换为实际接口基础路径

exports.handler = function(event, context, callback) {
    // 初始化路径变量，避免全局变量污染
    let queries = basePath;
    // 同时判断查询参数存在且不为空对象，覆盖API Gateway返回空对象的场景
    if (event.queryStringParameters && Object.keys(event.queryStringParameters).length > 0) {
        const queryStr = querystring.stringify(event.queryStringParameters);
        console.log('query Strings: ' + queryStr);
        queries = queries + '?' + queryStr;
    }
    // 打印拼接后的完整路径，方便排查问题
    console.log('full request path: ', queries);

    const options = {
        hostname: invokeHostname,
        port: 443,
        path: queries,
        method: event.httpMethod,
        // 增加Host头，适配VPCE访问私有API的要求
        headers: {
            'Host': '1234567a.execute-api.ap-something-1.amazonaws.com' // 替换为实际API网关域名
        }
    };

    const req = https.request(options, (res) => {
        res.setEncoding('utf8');
        let rawData = '';
        res.on('data', (chunk) => {
            console.log("chunk: " + chunk)
            rawData += chunk;
        });
        res.on('end', () => {
            console.log('response' + rawData);
            const response = {
                "statusCode": res.statusCode,
                "body": rawData,
                "isBase64Encoded": false
            };
            console.log(response);
            callback(null, response);
        });
    });

    // 增加错误处理逻辑，避免请求异常无响应
    req.on('error', (e) => {
        console.error(e);
        callback(e);
    });
    req.end();
}

2. 检查API Gateway配置 #

• 若Lambda前端接入了API Gateway，优先使用Lambda代理集成模式，该模式默认会全量传递查询字符串参数到Lambda的event对象中
• 若使用自定义集成，需要在集成请求配置中手动添加查询字符串参数映射，规则为method.request.querystring.{参数名}映射到integration.request.querystring.{参数名}

3. 核查VPCE及网络配置 #

• 确认VPCE端点策略没有限制URL路径格式，未过滤查询字符串内容
• 确认VPCE关联的安全组、网络ACL没有七层过滤规则，若部署了WAF、Nginx等七层代理，需要检查规则是否丢弃了查询参数

4. 后端代码兼容优化 #

ASP.NET Core侧可增加参数容错配置，方便排查参数传递问题：

[ApiController]
[Route("api/[controller]")]
public class TestController : Controller
{
    [HttpGet("get_something")]
    public IActionResult Test([FromQuery] int? getId = null)
    {
        if (!getId.HasValue)
        {
            return BadRequest("缺少getId参数");
        }
        // 业务逻辑实现
        return Ok(new { id = getId.Value });
    }
}

验证步骤 #

1. 查看Lambda的CloudWatch日志，确认full request path日志输出的路径已经携带?getId=123后缀，排除代码拼接问题
2. 若路径拼接正确但VPCE日志仍无参数，可在VPCE前临时部署TCP抓包工具，确认请求在网络传输过程中是否被篡改

内容的提问来源于stack exchange，提问作者Alvin Quezon