如何防止未经授权访问为 Twilio webhook 创建的 API

Question

我必须使用 AWS lambda 函数处理 Twilio 帐户的所有入站消息并将其转发到另一个号码。因此，我使用 Amazon API Gateway 创建了一个 POST API，并在 Twilio SMS webhook 配置上对其进行了配置。对于任何入站 SMS，Twilio 正在创建一个事件并调用 API。 API Gateway 依次调用 Lambda 函数。一切正常。 但问题是，据我所知，Twilio 仅支持 webhook 的公共 API。所以，我必须保持 API 公开。我正在寻找一些方法来防止未经授权的访问。

我研究了两种方法 -

1. 将 Twilio IP 范围列入白名单：这似乎是不可能的，因为 Twilio 的 IP 地址是可变的。

2. 验证请求来自 Lambda 函数内部的 Twilio： Twilio 文档也建议采用这种方法 - https://www.twilio.com/docs/usage/security。但是这样一来，每次都必须执行 Lambda 函数，即使是无效请求也是如此。

所以，我想知道是否有任何其他方法可以在不执行 Lambda 函数的情况下防止未经授权的访问。

Answer 1

Twilio 将使用X-Twilio-Signature HTTP 标头对您的应用程序的所有入站请求进行签名。

Twilio 使用在 webhook 中发送的参数（GET 或 POST）以及您的应用程序提供给 Twilio 的确切 URL 来创建此签名。签名使用 HMAC-SHA1 散列算法，将您的 Twilio 帐户的身份验证令牌作为密钥。

您的应用程序可以使用服务器端 Twilio SDK（validateRequest 方法）或实施您自己的验证器（see this page）来验证此签名是否正确。您将需要帐户的身份验证令牌、Twilio 传递给您的 X-Twilio-Signature HTTP 标头的值、Twilio 将 webhook 发送到的 URL 以及 Twilio 发送的所有参数。