aws api gateway의 websocket사용 시, connectionid는 의도적으로 노출하지않는 한 client에게 노출되지 않나요?

Question

aws api gateway의 websocket사용 시, connectionid는 의도적으로 노출하지않는 한 client에게 노출되지 않는지 궁금합니다.
그리고, api gateway에서는 어떻게 client를 특정지어서 해당 client의 요청에 connectionid를 부여하는 지 궁금합니다.

하기 시나리오에 대한 걱정점 해소를 위한 문의입니다.
clientA와 server가 websocket연결되어 connectionidA를 생성한 상태일 때,
제 3자가 clientA의 "어떤 값"(토큰, 쿠키..etc)을 탈취하여 clientB를 만들고 server에 접근할 때,
server에서 clientB를 connectionidA라고 인식하는 경우가 발생하는지?

froguin · Answer

안녕하세요.

Amazon API Gateway 문서에서는 WebSocket API 의 connection ID 에 대해서 어떤 부여 로직으로 할당하는지에 대한 정보는 제공하고 있지 않습니다. 해당 정보는 클라이언트 연결을 식별하는 고유한(Unique) ID로 설정되는 것이고, API Gateway 이하 백엔드단에서, 연결을 관리하거나 특정 클라이언트로의 콜백 등을 하실 때만 필요로 하는 정보이기 때문입니다.

아래 페이지에서 Integration request 시의 $connect 라우트의 예제를 보실 수 있는데, 대부분 클라이언트가 직접 알 필요가 없거나 연결 요청 시 생성되는 정보들입니다.
https://docs.aws.amazon.com/ko_kr/apigateway/latest/developerguide/apigateway-websocket-api-integration-requests.html#api-gateway-simple-proxy-for-lambda-input-format-websocket

aws api gateway의 websocket사용 시, connectionid는 의도적으로 노출하지않는 한 client에게 노출되지 않나요?

관련 콘텐츠