處理來自AWS Lambda的CSRF攻擊？

Question

正常情況下，服務器會生成一個csrf令牌，然後發送給客戶端。當客戶提交表單時，令牌會被傳回服務器，然後進行驗證。

如果我只是使用API​​網關和Lambda，我如何確保所有POST/PUT請求都是有效的，並防止csrf攻擊？關於我可以找到的主題沒有太多的書面信息，我不知道如何保存生成的csrf標記，以便所有lambda函數都可以訪問它。

這是AWS已經爲我處理的事情，還是我需要以特殊方式專門配置它？

Answer 1

雖然我沒有做過（或者甚至嘗試）我自己，2個可能的解決方案可能是：

• 最明顯的一個：堅持由AWS提供的存儲器的一個數據
• 越少顯而易見的一個：使用不需要持久性的標記。例如，JWT（JSON Web令牌）可以無狀態地使用，只要所有服務器（在你的情況下：lambda函數）只需要知道共享密鑰就能驗證客戶端令牌。爲了防止重複使用先前生成和使用的令牌（換句話說：確保只使用一次令牌），可以將數據添加到描述該表單的令牌載荷中，例如使用實體標識符加上版本號，或者乾脆爲令牌有效負載添加過期時間戳 - 無論適合您的用例。