TRPC框架中批量请求的安全隐患与解决方案

背景介绍

TRPC是一个现代化的TypeScript RPC框架，它提供了批量请求(batching)功能，允许客户端在一次HTTP请求中发送多个RPC调用。这种设计可以显著减少网络往返次数，提高应用性能。然而，近期在TRPC v10版本中发现了一个潜在的安全隐患，可能被恶意利用导致服务拒绝(DoS)攻击。

问题本质

TRPC的批量请求机制使用逗号(,)作为分隔符来区分不同的RPC调用。攻击者可以构造一个特殊的请求，在URL路径中插入大量逗号字符，例如：

/api/trpc/valid.procedure,,,,,,,,,,,,,,,,,,,,,,,

这种请求会导致服务器尝试处理大量实际上不存在的RPC调用，每个无效调用都会返回404错误响应。虽然单个请求看似无害，但在高并发情况下，这种攻击可能导致服务器资源被大量消耗，进而影响正常服务的可用性。

技术细节分析

在TRPC v10中，这个问题尤为突出，因为：

1. 服务器端缺乏对批量请求数量的有效限制
2. 批量请求的处理完全依赖客户端控制
3. 无效请求也会消耗服务器资源进行处理和错误响应生成

每个无效请求都会触发完整的错误处理流程，包括：

• 路由解析
• 上下文创建
• 错误对象构造
• 响应序列化

这些操作虽然单个消耗不大，但在大量并发情况下会显著增加服务器负载。

解决方案

TRPC v11的改进

TRPC v11版本已经内置了解决方案，在createContext函数中可以访问info对象，其中包含完整的批量调用信息。开发者可以这样实现限制：

if (opts.info.calls.length > 10) {
  throw new TRPCError({
    code: 'BAD_REQUEST',
    message: `批量请求数量超过限制(10)`
  });
}

TRPC v10的临时解决方案

对于仍在使用v10版本的开发者，可以通过以下方式实现类似保护：

export const createContext = async (opts: CreateNextContextOptions) => {
  const trpcReq = opts.req.query.trpc;
  const req = Array.isArray(trpcReq) ? _.flatten(trpcReq) : trpcReq;
  const count = req?.toString().split(',').length || 0;
  
  if (count > 10) {
    throw new TRPCError({ code: 'TOO_MANY_REQUESTS' });
  }
  // 其他上下文初始化代码
}

最佳实践建议

1. 升级到v11：v11版本提供了更完善的批量请求管理机制
2. 实施请求限制：无论使用哪个版本，都应实现适当的批量请求数量限制
3. 监控和告警：设置对异常批量请求模式的监控
4. 考虑性能影响：根据服务器性能调整批量请求的最大数量
5. 输入验证：对所有输入参数进行严格验证

总结

TRPC的批量请求功能虽然强大，但也带来了潜在的安全风险。开发者应当充分了解这些风险并采取适当的防护措施。对于新项目，建议直接使用TRPC v11版本；对于现有v10项目，应实现上述临时解决方案，并计划尽快升级。通过合理配置和编码实践，可以在享受批量请求带来的性能优势的同时，确保服务的安全性和稳定性。