如何用EC2安全组限制特定Node/Express端点的访问IP？

Short answer: No, you can't do this directly with EC2 security groups — here's why and what to do instead:

EC2安全组是基于端口和协议的访问控制，它没办法区分同一个端口上的不同HTTP路径/端点。如果你的所有Express路由都运行在同一个端口（比如默认的3000），安全组只能要么允许所有IP访问这个端口，要么只允许特定IP访问整个端口，没法单独限制某个端点。

推荐方案1：在Express应用层添加IP校验中间件 #

这是最直接、低复杂度的解决方案，不需要改变你的部署架构。你可以写一个自定义中间件，只对需要限制的路由生效，检查请求的客户端IP是否在允许列表里。

示例代码：

const express = require('express');
const app = express();

// 如果你用了ELB、Nginx这类反向代理，一定要设置这个才能拿到真实客户端IP
app.set('trust proxy', true);

// 定义允许访问受限端点的IP列表
const allowedIPs = ['192.168.1.100', '203.0.113.5'];

// IP校验中间件
const restrictToAllowedIPs = (req, res, next) => {
  // 拿到客户端真实IP（如果没代理的话用req.ip也可以）
  const clientIP = req.headers['x-forwarded-for'] || req.ip;
  // 注意：x-forwarded-for可能是逗号分隔的IP列表，取第一个就是原始客户端IP
  const realClientIP = clientIP.split(',')[0].trim();

  if (allowedIPs.includes(realClientIP)) {
    next(); // 允许继续处理请求
  } else {
    res.status(403).send('Forbidden: Your IP is not authorized to access this endpoint');
  }
};

// 给特定端点应用限制中间件
app.get('/api/restricted-data', restrictToAllowedIPs, (req, res) => {
  res.json({ message: 'This is restricted content only for approved IPs' });
});

// 其他端点正常对外开放
app.get('/api/public-data', (req, res) => {
  res.json({ message: 'This content is open to everyone' });
});

app.listen(3000, () => console.log('Server running on port 3000'));

这个方案的优势：

• 不需要修改EC2安全组或部署架构
• 可以灵活调整允许的IP列表（甚至存在数据库里动态更新）
• 能针对单个路由做精细化控制

方案2：用单独端口+安全组限制（适合高安全要求场景） #

如果你的场景要求必须在网络层做IP限制（不信任应用层校验），那你可以把受限端点部署在单独的端口，然后用EC2安全组只允许特定IP访问这个端口，同时对外开放公共端口。

实现步骤： #

1. 在Express里启动两个服务实例，分别监听不同端口：

// 公共服务：监听3000端口，对外开放所有IP
const publicApp = express();
publicApp.get('/api/public-data', (req, res) => {
  res.json({ message: 'Public content' });
});
publicApp.listen(3000, () => console.log('Public server running on port 3000'));

// 受限服务：监听3001端口，仅允许指定IP访问
const restrictedApp = express();
restrictedApp.get('/api/restricted-data', (req, res) => {
  res.json({ message: 'Restricted content' });
});
restrictedApp.listen(3001, () => console.log('Restricted server running on port 3001'));

2. 配置EC2安全组：

• 添加入站规则：允许所有IP（0.0.0.0/0）访问3000端口（TCP）
• 添加入站规则：仅允许你的目标IP列表访问3001端口（TCP）

这个方案的优势是在网络层就拦截了未授权的请求，但缺点是增加了部署复杂度，需要维护两个服务实例，而且端口管理会更麻烦。

内容的提问来源于stack exchange，提问作者kane