AWS API Gateway是否默认启用HTTPS？如何确保入站请求仅用HTTPS/TLS协议

AWS API Gateway默认会同时开放HTTP 80端口和HTTPS 443端口的访问权限，并不会主动拦截明文HTTP请求，因此你测试时HTTP请求可正常执行属于预期行为，可通过以下几种方案强制仅允许HTTPS访问：

方案1：网关侧直接配置协议限制 #

• 如果你使用的是REST API/HTTP API：可直接在网关配置页开启仅HTTPS访问开关，操作路径如下：

  进入对应API的管理页 -> 选择「设置」选项卡 -> 找到协议配置模块 -> 勾选 仅允许HTTPS 选项 -> 保存后重新部署对应阶段的API即可立即生效

• 如果你使用的是WebSocket API：无需额外配置，网关默认仅支持加密的WSS协议，不接受明文WS请求。

方案2：通过资源策略拒绝非HTTPS请求 #

你可以给API Gateway添加资源访问策略，全局拒绝所有明文HTTP请求，示例策略如下：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Principal": "*",
            "Action": "execute-api:Invoke",
            "Resource": "arn:aws:execute-api:【替换为你的区域】:【替换为你的AWS账号ID】:【替换为你的API ID】/*/*/*",
            "Condition": {
                "NotEqual": {
                    "aws:SecureTransport": "true"
                }
            }
        }
    ]
}

配置完成后需要重新部署API，策略才会在对应阶段生效。

方案3：通过WAF规则拦截HTTP请求 #

如果你的API已经接入AWS WAF做安全防护，可以新增自定义规则直接拦截所有HTTP请求：

• 新建自定义规则，匹配请求的Protocol字段值为HTTP，设置动作为阻止即可，该规则无需重新部署API即可实时生效。

生效验证 #

配置完成后可通过curl命令测试明文请求是否被拦截：
curl -v http://<你的API网关访问域名>/<测试路径>
配置生效后，明文HTTP请求会返回403拒绝访问，或者301/302重定向到对应HTTPS地址。

内容的提问来源于stack exchange，提问作者John doe