如何使用 AWS API Gateway 为 CORS 预检请求设置配额

Question

我正在使用 AWS Lambda 和 API Gateway 构建无服务器应用程序。为了防止 DDOS 攻击执行大量请求并花费我很多钱，我设置了一个带有请求配额的使用计划（例如 10K 请求/月）。这需要调用者将 API 密钥作为标头传递。

这看起来效果很好，但我还需要为此服务启用 CORS。为此，我需要允许未经授权的 OPTIONS 请求（“CORS 预检”请求），因为浏览器不支持在那里发送任何特殊标头。但后来我似乎找不到强制执行配额的方法，我又回到了原点：这些请求的数量不受控制可能会花费不可预见的金额。有什么办法可以排除这种可能性吗？

Answer 1

要对 OPTIONS 请求实施配额，请在 AWS WAF 中创建一个 Web ACL 并将其关联到 API Gateway 中的 API 阶段。在 Web ACL 中添加基于速率的规则，以阻止超出您指定的速率限制的所有 OPTIONS 请求。可以为此专门配置 Web ACL 中的规则，如下所示：

有关整个过程的屏幕截图指导教程，请参阅我的博客文章。