随着 Serverless 的快速普及，人们开始认识到 Serverless 的优势，比如可扩展性，维护性，可靠性等等。但与此同时，也存在一些安全性问题。本文将从 Serverless 应用的角度出发，探讨如何进行安全性管理和防范攻击。
Serverless 应用中的安全性管理
1. 数据的加密
在 Serverless 应用中，对于一些敏感信息，比如 API 密钥、数据库连接等等，往往需要进行加密处理。针对这种情况，我们可以使用 AWS KMS 或者 Google Cloud KMS 等加密服务来帮助我们进行加密处理。比如在使用 AWS Lambda 的情况下，可以使用 AWS KMS 的加密支持来确保在运行时信息的安全性。
示例代码：
-- -------------------- ---- -------
----- --- - ------------------
----- --- - --- ---------
----- -------- ------------- -
----- ------ - -
------ --------------- ------ --- --- --
---------- ----
--
----- ---- - ----- -------------------
------ --------------------------------------
-2. 检查依赖库的漏洞
在开发 Serverless 应用时，需要借助第三方库来提供一些可重用的功能，比如用 npm 安装的包。但是每个库都可能存在漏洞，这些漏洞可能会被攻击者利用。因此我们需要对这些库进行漏洞扫描，并及时更新或者替换存在漏洞的库。
可以使用 Snyk、NPMAudit、GitHubSecurity检查这些库，进行漏洞扫描。
示例代码：
$ npm install -g snyk $ snyk test --file=app/package-lock.json --project-name=app-users
3. 对输入进行校验
在 Serverless 应用中，使用者的输入可能会极大地影响应用程序的行为，而攻击者可以利用这些漏洞来攻击我们的应用程序。因此，需要对输入进行校验，并防止许多种类型的攻击，比如 SQL 注入、跨站点脚本（XSS）等。
可以使用库，比如 JOI 针对输入进行校验并且对于不合法的输入数据进行拒绝处理。
示例代码：
-- -------------------- ---- -------
----- --- - ---------------------
--------------- - ----- ------- -------- -- -
----- ------ - ------------
----- ------------
-----------
-------
--------
------------
------ ------------
-------- ------------------ -- ----- - ------ ------- ------ - --
---
--- -
----- ----- - ----- -------------------------------- - ----------- ----- ---
------------------ ---------- ------ -------
------ - ----------- ---- ----- --------------------- --
- ----- ------- -
-----------------------------
------ - ----------- ---- ----- ----------------------------- -
-
--4.限制权限
在 Serverless 应用中，许多第三方服务会要求我们提供一些权限才能访问其资源，但某些权限可能不是必需的，因此我们需要限制权限，只授予必要的权限。
对于 AWS Lambda，可以使用 IAM 角色来限制访问不同的 AWS 资源，实现最小化权限原则。
示例代码：
-- -------------------- ---- -------
-------- ---------
---------
----- ---
-------- ----------
------------------
- ------- -------
-------
- ------------------
- ------------------
--------- --------------
----------
------
-------- -------------防范攻击
1. 防范 DDoS 攻击
在 Serverless 应用中，由于每个请求都是独立的，因此通常可以轻松地进行水平扩展。这使得我们可以较好地应对单独的 DoS 攻击，但是在大规模的 DDoS 攻击中，这种扩展具有局限性。
因此，可以使用 CDN 服务来防御 DDoS 攻击。CDN 服务通常可以通过多个节点来限制来自单个 IP 地址的请求，减轻 DDoS 攻击的压力。
示例代码：无
2. 防范 SQL 注入攻击
SQL 注入攻击是一种利用输入的突破口执行恶意 SQL 命令的攻击。防御 SQL 注入攻击的一个有效方法是使用参数化查询。该方法可以有效地防范 SQL 注入攻击并确保 SQL 查询和修改语句只能访问应用程序的必需数据。
示例代码：
const query = `SELECT * FROM users WHERE username = ? AND password = ?`; const result = await mysql.query(query, [username, password]);
3. 防范 XSS 攻击
XSS（跨站脚本）攻击是一种利用 Web 应用程序的漏洞来在用户浏览器中注入恶意脚本的攻击。在 Serverless 应用程序中，可以使用 Content Security Policy（CSP）来防范 XSS 攻击。
CSP 允许 Web 应用程序定义能够加载和执行的脚本源。只有来自这些源的脚本才会被加载和执行。这可以有效地防止未经授权的脚本被注入应用程序中。
示例代码：
<meta http-equiv="Content-Security-Policy" content="default-src 'self'; script-src 'self'">
总结
本文主要讨论了如何在 Serverless 应用中进行安全性管理和防范攻击。在开发 Serverless 应用时，需要考虑很多方面，比如安全性、可靠性、性能等等。只有在所有方面都做好准备后，我们的 Serverless 应用才能真正地具有价值。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/65ba1499add4f0e0ff2a0aec