Утечка serverless-состояния: храните данные в рамках запроса

Основные понятия и термины

Execution environment reuse

Повторное использование среды: платформа может сохранить runtime или isolate для следующих вызовов, но может завершить его в любой момент.

Module-level state

Состояние уровня модуля: значение, инициализированное вне обработчика. Оно может сохраниться в этой среде между вызовами и не должно содержать пользовательские или tenant-данные.

AsyncLocalStorage

AsyncLocalStorage: API Node.js для распространения хранилища в асинхронном контексте. Он отслеживает контекст, но не аутентифицирует и не авторизует пользователя.

Cross-request data exposure

Межзапросное раскрытие данных: последующий запрос читает данные предыдущего в той же повторно используемой среде. Само повторное использование не доказывает утечку.

Пошаговая цепочка раскрытия данных

Исходный код: опасный шаблон и безопасный вариант

// UNSAFE: request identity is mutable process-wide state.
import { NextResponse } from "next/server";

let cachedUserContext: { userId: string; role: string } | null = null;

export async function POST(req: Request) {
  const token = req.headers.get("authorization");

  if (token) {
    cachedUserContext = await decodeUser(token);
  }

  // If token is missing, stale state can still be used.
  return NextResponse.json({ actor: cachedUserContext?.userId });
}

// SAFE PATTERN: keep identity local and pass it to the service.
import { NextResponse } from "next/server";

export async function POST(req: Request) {
  const user = await authenticate(req);
  if (!user) {
    return NextResponse.json({ error: "Unauthorized" }, { status: 401 });
  }

  const account = await loadAccountForUser(user.id);
  return NextResponse.json({ actor: user.id, account });
}

// The service enforces ownership in its query:
async function loadAccountForUser(userId: string) {
  return db.account.findFirst({ where: { ownerId: userId } });
}

Контрольный список усиления защиты

• Храните аутентификацию, идентификатор пользователя, tenant ID и изменяемые данные запроса в обработчике или явно изолированном контексте; не помещайте их в глобальные переменные модуля.
• Предпочитайте явные параметры при передаче аутентифицированной идентичности сервисам и доступу к данным. В Node.js применяйте AsyncLocalStorage.run() только для неявного асинхронного контекста; он передает контекст, но не авторизует операции.
• Не считайте singleton клиента БД пользовательским состоянием. Клиенты можно переиспользовать, но передавайте аутентифицированного пользователя/tenant в каждый запрос и проверяйте владельца в условии запроса.
• Используйте React cache() только для документированной межкомпонентной мемоизации в рамках запроса React Server Components; не как общий межзапросный кэш аутентификации.
• Добавьте интеграционный тест с чередованием запросов разных пользователей и неаутентифицированного запроса; проверьте привязку каждого ответа и операции БД к своей идентичности.
• Изучите документацию жизненного цикла платформы. Проверяйте логику на случай повторного использования среды, не предполагая, какой запрос попадет в какой экземпляр.

Источники

• AWS Lambda — Жизненный цикл среды выполнения
• AWS Lambda — Рекомендации для функций Lambda
• Cloudflare Workers — Как работает Workers
• Node.js — Асинхронный контекст и AsyncLocalStorage
• React — Справка cache() и сброс между запросами