AWS Lambda与API Gateway问题：Node.js连接PostgreSQL函数排查

嘿，我帮你梳理下这个Lambda函数结合API Gateway使用时的几个关键问题，以及对应的修复方案：

1. 高危SQL注入漏洞 #

你的代码直接把event.location_id和event.company_id拼接进SQL语句，这是严重的SQL注入风险——恶意请求可以轻松篡改你的数据库数据甚至删除表。必须改用PostgreSQL支持的参数化查询来避免这个问题：

// 替换原有的query写法
client.query(
  "SELECT products.* from products where location_id = $1 AND company_id = $2",
  [event.location_id, event.company_id], // 参数按顺序传入
  (err, res) => {
    // 后续处理逻辑
  }
);

2. 异步操作未正确处理，导致Lambda提前终止 #

Lambda函数是基于异步生命周期的，你的代码里client.connect()和client.query()都是异步操作，但没有等待它们完成就可能触发函数结束，这会导致数据库连接中断、查询未执行就返回错误结果。

推荐用async/await重构（Node.js 8.10+支持，代码更清晰）： #

const pg = require("pg");

exports.handler = async (event) => {
  // 初始化客户端
  const client = new pg.Client({
    user: process.env.DB_USER, // 后面会说用环境变量替代硬编码
    password: process.env.DB_PASSWORD,
    database: process.env.DB_NAME,
    port: 5432,
    host: process.env.DB_HOST,
    ssl: { rejectUnauthorized: false } // 修复SSL连接问题
  });

  try {
    // 等待连接完成
    await client.connect();
    console.log('Connected to PostgreSQL database');
    
    // 执行参数化查询
    const res = await client.query(
      "SELECT products.* from products where location_id = $1 AND company_id = $2",
      [event.location_id, event.company_id]
    );

    // 返回API Gateway需要的格式
    return {
      statusCode: 200,
      body: JSON.stringify(res.rows)
    };
  } catch (err) {
    // 捕获所有错误并返回友好提示
    console.error('执行出错:', err);
    return {
      statusCode: 500,
      body: JSON.stringify({ error: '服务器内部错误', detail: err.message })
    };
  } finally {
    // 无论成功失败，都关闭数据库连接，避免连接泄漏
    await client.end();
  }
};

3. 敏感信息硬编码，违反安全最佳实践 #

你把数据库的用户名、密码、主机地址直接写在代码里，这非常不安全——代码仓库泄露的话，数据库就直接暴露了。应该用Lambda环境变量来存储这些敏感信息：

1. 登录Lambda控制台，找到你的函数，进入「配置」→「环境变量」
2. 添加以下变量：DB_USER、DB_PASSWORD、DB_NAME、DB_HOST，对应填入你的数据库信息
3. 代码里通过process.env.变量名读取，就像上面示例里那样

4. SSL配置可能导致连接失败 #

如果你的PostgreSQL是AWS RDS或者Heroku这类托管服务，默认的ssl: true可能会因为证书验证失败导致连接超时。修改成下面的配置就能解决这个问题：

ssl: { rejectUnauthorized: false }

（生产环境如果需要更严格的安全，可以配置官方CA证书，但大多数场景下这个配置足够用）

5. API Gateway集成的常见坑点 #

如果以上修复后还是有问题，检查这几点：

• 参数传递是否正确：如果API Gateway用了「Lambda代理集成」，POST请求的参数会在event.body里（是JSON字符串），需要先解析：const body = JSON.parse(event.body);，然后用body.location_id和body.company_id
• VPC权限配置：如果数据库在VPC内，Lambda需要配置VPC访问权限，并且数据库的安全组要允许Lambda所在安全组的IP访问5432端口
• 查看CloudWatch日志：Lambda的所有执行日志都会存在CloudWatch里，直接搜函数名就能看到具体的错误信息（比如连接超时、参数缺失、SQL语法错误等），这是排查问题最直接的方式

内容的提问来源于stack exchange，提问作者Developer