13、云原生系统安全保障指南

云原生系统安全保障指南

1. API 请求安全验证

在 API 请求中，客户端虽可随意构造 URL，但是无法篡改 JWT 令牌内容，因为令牌由发行方签名。我们需要用令牌中的值覆盖请求值。在这个示例里，我们依据用户令牌中的主体（subject）或子声明（subclaim）来保存和检索特定用户的数据。服务配置了授权器，用于验证令牌并转发声明。

为简化示例，将主体用作 HASH 键，数据的 UUID 用作 RANGE 键。在检索数据时，会将查询参数与令牌中的值进行比对，若不匹配则返回 401 状态码；若匹配，则在实际查询中使用令牌中的值，以防止断言逻辑中的漏洞意外返回未授权数据。

以下是操作步骤：
1. 查看日志：

$ sls logs -f save -r us-east-1 -s $MY_STAGE
$ sls logs -f get -r us-east-1 -s $MY_STAGE

2. 完成操作后移除堆栈：

$ npm run rm:lcl -- -s $MY_STAGE

2. 使用信封加密保护静态数据

对于多数系统而言，加密静态数据至关重要，需确保客户数据和企业数据的隐私。常见的磁盘加密方式仅在磁盘断开连接时保护数据，磁盘连接时，数据从磁盘读取会自动解密。为真正保障静态数据隐私，需在应用层面加密并有效屏蔽敏感信息。这里我们使用 AWS Key Management Ser