Go製AWS Lambdaのパフォーマンスとセキュリティを同時に改善した3つの実践テクニック

func businessHandler(ctx context.Context, request events.APIGatewayProxyRequest) (events.APIGatewayProxyResponse, error) {
    
    // ❌ 毎回新しいクライアントを作成
    cognitoClient, err := cognito.NewClient()
    if err != nil {
        return utils.CreateErrorResponse(500, "Failed to initialize Cognito client"), nil
    }
    
    // ... ビジネスロジック
}

// ❌ 外部サービスへのリクエストにタイムアウト制御がなかった
result, err := cognitoClient.SignUp(signUpInput)

func (c *CORSMiddleware) selectOrigin(requestOrigin string) string {
    // ...（中略）...

    // ❌ 許可されていないオリジンからのリクエストでも、
    //    許可リストの最初のオリジンを返してしまっていた
    return c.allowedOrigins[0]
}

package cognito

import (
    "os"
    "sync"
)

var (
    cachedClient *Client
    cacheOnce    sync.Once // 複数のgoroutineから呼ばれても一度しか実行しないことを保証するオブジェクト
    cacheError   error
)

// GetCachedClient はCognitoクライアントのキャッシュされたインスタンスを返す
func GetCachedClient() (*Client, error) {
    // cacheOnce.Doの中の処理は、この関数が何回呼ばれても、
    // 並行していくつのgoroutineから呼ばれても、全体で一度しか実行されない。
    cacheOnce.Do(func() {
        // この初期化処理が実行されるのは、プロセスで本当に最初の1回だけ
        cachedClient, cacheError = NewClient()
    })
    
    return cachedClient, cacheError
}

func businessHandler(ctx context.Context, request events.APIGatewayProxyRequest) (events.APIGatewayProxyResponse, error) {
    
    // ✅ キャッシュされたクライアントを取得
    cognitoClient, err := cognito.GetCachedClient()
    if err != nil {
        // ... エラー処理
        return utils.CreateErrorResponse(500, "Service temporarily unavailable"), nil
    }
    
    // ... ビジネスロジック
}

import "context"
import "time"

// WithContextを使用してタイムアウト制御を追加
func (c *Client) LoginWithContext(ctx context.Context, email, password string) (*LoginResult, error) {
    // 親のコンテキスト(ctx)を使い、15秒でタイムアウトする新しいコンテキストを作成
    timeoutCtx, cancel := context.WithTimeout(ctx, 15*time.Second)
    defer cancel() // 処理終了時にリソースを解放
    
    // ✅ タイムアウト制御付きでCognito APIを呼び出し
    result, err := c.client.InitiateAuthWithContext(timeoutCtx, &cognitoidentityprovider.InitiateAuthInput{
        // ...
    })
    
    if err != nil {
        // エラーがタイムアウトによるものか判定
        if timeoutCtx.Err() == context.DeadlineExceeded {
            // ... タイムアウト専用のエラーを返す
        }
        return nil, c.handleCognitoError(err, "login")
    }
    
    // ...
}

// selectOrigin は厳密なオリジン検証を行う
func (c *CORSMiddleware) selectOrigin(requestOrigin string) string {
    // ...（ワイルドカード等のチェック）...

    // リクエストヘッダーにOriginがない場合は何も返さない
    if requestOrigin == "" {
        return ""
    }

    // ✅ 許可リストと完全に一致するかをチェック
    for _, o := range c.allowedOrigins {
        if o == requestOrigin {
            return requestOrigin // 一致した場合のみ、そのオリジンを返す
        }
    }

    // ✅ どの許可リストにも一致しなかった場合は、空文字列を返す
    return ""
}

func TestCORSMiddleware_SecurityValidation(t *testing.T) {
    corsMiddleware := NewCORSMiddleware(WithAllowedOrigin("https://trusted-app.com"))
    
    testCases := []struct {
        name         string
        origin       string // テストするリクエストのオリジン
        expectStatus int    // 期待するHTTPステータスコード
        expectOrigin string // 期待するAccess-Control-Allow-Originヘッダーの値
    }{
        {"正当なオリジン", "https://trusted-app.com", 200, "https://trusted-app.com"},
        {"サブドメイン攻撃", "https://malicious.trusted-app.com", 403, ""},
        {"プロトコル変更攻撃", "http://trusted-app.com", 403, ""},
        {"不正なオリジン", "https://evil.com", 403, ""},
    }
    
    // ... テスト実行ロジック ...
}