如何为Cloud Run gRPC服务实现安全防护及Identity Platform身份验证

无效token处理规则 #

• gRPC场景下不要直接抛出未处理的异常，建议返回标准的 PERMISSION_DENIED 状态码，该状态码对应HTTP场景的403 Forbidden，和官方Java示例的处理逻辑对齐，客户端也可以按照gRPC标准协议统一识别错误类型。
• 如果要规避无效请求带来的额外成本，可以开启Cloud Run内置的身份校验能力，直接在网关层完成Identity Platform ID token的合法性校验，无效请求不会转发到你的gRPC服务实例，也就不会产生服务侧的计算费用，从根源上避免无效token请求的成本损耗。

恶意流量防护方案 #

• Cloud Run原生网关默认不会自动根据错误返回封禁源IP，你可以搭配云WAF服务使用，自定义基于错误码的防护规则：比如同一个IP在指定时间窗口内产生的403/PERMISSION_DENIED错误超过设定阈值，就自动触发临时IP封禁、攻击预警。
• gRPC场景无需做特殊适配：gRPC的标准错误码会自动映射为对应的HTTP状态码，PERMISSION_DENIED 会对应到403状态码，WAF可以直接识别统计，防护规则和HTTP场景完全通用。

内容的提问来源于stack exchange，提问作者Christian Findlay