AWS Lambda 関数 URL を使用するときにリクエストを検証する方法-jsチュートリアル-php.cn

AWS Lambda 関数 URL を使用するときにリクエストを検証する方法

Barbara Streisand

リリース： 2024-12-08 17:51:12

オリジナル

442 人が閲覧しました

How to validate requests when using AWS Lambda Function Url

導入

Lambda 関数 URL は、AWS Lambda 関数の組み込み HTTPS エンドポイントです。これにより、API Gateway などの仲介サービスを必要とせずに、HTTP 経由で Lambda 関数を直接呼び出すことができます。これにより、関数をパブリックにアクセスできるようにする必要がある場合や、Web アプリケーションに統合する必要がある場合のデプロイメントが簡素化されます。 Lambda 関数 URL を使用したリクエストの検証には、Model と RequestValidator を使用できる API Gateway とは異なり、独特の課題と微妙な違いがあります。

を参照してください。

この記事では、イベントオブジェクトを簡単に検証し、受信したイベントペイロードに不一致がある場合に適切なエラーを返す方法について説明します。

Lambda 関数の URL が必要な理由

Lambda 関数 URL は、HTTP 経由で Lambda 関数を呼び出す簡単な方法を提供する一意の URL を持つ専用エンドポイントです。 Lambda 関数の URL を作成すると、AWS はその関数の URL を自動的に生成します。IAM ベースの認証を設定することも、(オープンアクセス用に) パブリックのままにすることもできます。

Lambda 関数 URL の重要性は次のとおりです。

シンプルさ: 単純な HTTP エンドポイントのみが必要な場合に、API ゲートウェイを設定して管理する必要がなくなります。
コスト効率が高い: Lambda 関数の URL には標準の Lambda 価格を超える追加料金がないため、基本的なユースケースで API Gateway を使用する場合と比較してコストが削減されます。
クイックデプロイメント: API ゲートウェイの設定が不要なラピッドプロトタイピングまたはユースケースに最適です。
ネイティブ HTTPS サポート: 追加の構成を行わずに安全な通信を提供します。
認証制御: 安全なアクセスのために IAM ベースの認証をサポートするか、オープンエンドポイントに対してパブリックに設定できます。

Lambda 関数の URL が必要になるのはどのような場合ですか

マイクロサービスと Webhook:
- HTTP リクエストに応答するマイクロサービスを簡単に作成します。
- Lambda 関数 URL を使用して、サードパーティサービス (支払いシステム、通知など) からの Webhook コールバックを処理します。
プロトタイピングとデモ:
- API ゲートウェイを設定せずに、デモ目的でバックエンド関数をすばやく公開します。
自動化ツールと内部ツール:
- 従業員が簡単な URL 経由で直接アクセスできる内部ツールを作成します。
静的 Web サイトバックエンド:
- Amazon S3 または CloudFront でホストされている静的ウェブサイトを、動的機能 (フォーム送信など) 用の Lambda 関数 URL と組み合わせます。
IoT 統合:
- IoT デバイスが HTTP エンドポイント経由でサーバーレス機能を直接トリガーできるようにします。

Lambda 関数 URL でリクエストを検証する方法

手順:

リクエストモデルを定義します
再利用可能なリクエストモデルを使用してイベント本体データ (ペイロード) を検証します
モデルをハンドラーメソッドに接続します

リクエストモデルを定義する

イベント本体のモデルを定義します。名前、電子メール、およびオプションの携帯電話番号が必要だとします。期待されるイベント本体に合わせたモデルを作成していきます。

前提条件: Joi をインストール --> npm install Joi

const Joi = require('joi');

const eventModel = Joi.object({
    name: Joi.string().required(),
    email: email: Joi.string().email({ minDomainSegments: 2, tlds: { allow: ['com', 'net'] } }),
    mobileNumber: Joi.string().optional()
})

ログイン後にコピー

リクエストモデルを使用してイベントを検証する

モデルを作成したら、次にモデルを使用してイベント本体データを検証する必要があります。このステップにより、エラーが適切に処理されることも保証されます。

const validateEventData = async (data) => {
    try{
        const value = await eventModel.validateAsync(data);
        return value;
    }catch(error){
        throw new Error( error.message || error);
    }
}

ログイン後にコピー

モデルをハンドラーメソッドにプラグインします。

module.exports.handler = async (event, context) => {
  try{
    const body = validateEventData(event.body);
    return { statusCode: "200", body };
    }
  }catch (err) {
    return {
        statusCode: 400,
        body: { message: 'Invalid request body', error: err.message || err },
    };
  }
}

ログイン後にコピー

サンプルエラー

次のような不一致イベントオブジェクトを送信するとします。

{
    "email": "value3@gmail.com"
    "mobileNumber": "234567890"
}

ログイン後にコピー

必須フィールド名が削除されていることに注意してください。

  "statusCode": 400,
  "body": { "message": "Invalid request body", "error": "\"name\" is required"
  }

ログイン後にコピー

これは、結論セクションをリファクタリングして拡張したバージョンで、より深く理解し、重要なポイントを強化したものです:

結論

受信リクエストを適切に検証することは、SQL インジェクション、スクリプトインジェクション、その他の形式の悪意のある入力などの潜在的な脆弱性から AWS Lambda 関数を保護するための重要なステップです。堅牢な検証プラクティスを実装することで、アプリケーションの安全性、信頼性、回復力を確保できます。

この記事では、Joi ライブラリを使用して AWS Lambda 関数でリクエストの検証を実行する方法を説明しました。 Joi を使用すると、明確な検証スキーマを定義し、データの整合性を強制し、入力が要件を満たさない場合に有益なエラーメッセージをユーザーに提供できます。このアプローチは、セキュリティの脅威に対してアプリケーションを強化するだけでなく、検証ロジックを構造化して再利用可能に保つことで保守性も強化します。

説明した手順に従うことで、入力検証を Lambda 関数にシームレスに統合し、検証エラーを適切に処理できます。その結果、サーバーレスアプリケーションはより安全に動作し、整形式で有効なデータのみが処理されるという確信が得られます。

検証は包括的なセキュリティ戦略の 1 つの層にすぎないことを覚えておいてください。適切なエラーログ、入力のサニタイズ、認証メカニズム (AWS Cognito など) などの実践と組み合わせることで、アプリケーションのセキュリティがさらに強化されます。

このような安全なコーディングの実践は、堅牢なサーバーレスアーキテクチャを構築するために不可欠です。 AWS Lambda エンドポイントを保護し、ユーザーにより安全なエクスペリエンスを提供するために、今すぐ入力検証の実装を開始してください。

——————————————

その他の記事については、私のソーシャルハンドルをフォローしてください: