在SST项目中使用CloudFront代理API Gateway的正确路由配置

问题背景

在使用SST框架构建云架构时，开发者经常需要将CloudFront部署在API Gateway前面作为CDN和代理层。这种架构可以提供更快的响应速度、更好的缓存策略以及更灵活的域名管理。然而，在配置路由时，一个常见的错误会导致CloudFront无法正确转发请求到后端API Gateway。

错误现象

当开发者尝试通过以下代码配置CloudFront路由时：

const api = new sst.aws.ApiGatewayV2('HttpApi', args, { dependsOn: dependencies });
const router = new sst.aws.Router('vcl-apis-router');
router.route('/*', api.url)

虽然API Gateway的直接URL可以正常工作，但通过CloudFront访问时会出现403 Forbidden错误。这表明请求虽然到达了CloudFront，但未能正确转发到后端服务。

问题根源

问题的关键在于路由模式的使用。在上述代码中，开发者使用了通配符路由模式/*，这种模式在某些情况下会导致路径匹配和转发行为不符合预期。

解决方案

将路由模式从/*改为简单的/即可解决问题：

router.route('/', api.url)

技术原理

1. 路径匹配行为差异：

   • /*模式会匹配所有路径，包括子路径，这可能导致路径被重复附加
   • /模式仅匹配根路径，转发行为更加明确

2. 请求转发机制：

   • 使用/*时，CloudFront可能会将完整路径附加到API Gateway的URL上
   • 使用/时，请求会被干净地转发到API Gateway的根路径

3. SST框架的内部处理：

   • SST在底层会将路由配置转换为CloudFront的Origin和Behavior设置
   • 不同的路由模式会影响这些底层资源的配置方式

最佳实践建议

1. 简单API场景：

   • 对于大多数API Gateway场景，使用/作为路由模式是最简单可靠的选择

2. 多路径API场景：

   • 如果需要代理多个路径，可以考虑为每个路径设置明确的路由
   • 例如：/api/*用于API路径，/static/*用于静态资源

3. 路径保留需求：

   • 如果需要保留原始请求路径，确保理解路径转发行为
   • 可能需要调整API Gateway的集成请求设置

总结

在SST项目中使用CloudFront代理API Gateway时，正确的路由配置对于确保请求能够正确转发至关重要。通过使用简单的/路由模式而非通配符/*，可以避免常见的403错误，使整个架构更加稳定可靠。理解SST框架的路由处理机制和CloudFront的转发行为，有助于开发者构建更健壮的云原生应用。