如何用AWS CloudFront为Lambda Function URL配置加速源站提升访问速度

Lambda Function URL让函数拥有独立HTTPS入口，但默认源站位于单一区域，海外用户访问极易受公网链路质量影响。将AWS CloudFront放在前面做加速层，既能利用边缘节点就近接入，也能通过缓存与压缩降低回源次数。下面从源站接入、缓存与鉴权、回源细节三个维度展开。

CloudFront自定义源站如何指向Function URL

在CloudFront分配中，Origin类型应选“Custom Origin”，而非S3或MediaStore。Function URL的格式通常为 https://<随机串>.lambda-url.<区域>.on.aws，将其主机名填入Origin Domain，协议策略建议选HTTPS Only，因为Function URL本身只支持加密连接。很多人在控制台直接粘贴整条URL，结果保存报错，原因是Origin只接受域名，不能带 https:// 与路径。

另一个易错点是端口与协议匹配。Function URL监听443，若Origin Protocol Policy设成HTTP Only，CloudFront会用明文回源被函数拒绝。正确做法是把Origin Protocol Policy设为“HTTPS only”，并在Functions或Behavior里保留默认443。如果后续想做蓝绿切换，可以用多个Origin加Origin Groups，一个主用、一个备用，CloudFront会按健康检查分流。

下面是一段用AWS CLI创建Origin的示例，注意函数URL域名去掉了协议头：

aws cloudfront create-distribution 
--distribution-config file://cf-config.json

# cf-config.json 中 origins 片段
{
  "Id": "lambda-furl-origin",
  "DomainName": "abcd1234.lambda-url.ap-northeast-1.on.aws",
  "CustomOriginConfig": {
    "HTTPPort": 80,
    "HTTPSPort": 443,
    "OriginProtocolPolicy": "https-only"
  }
}

缓存策略与函数鉴权如何协同

Lambda Function URL若开启了IAM Auth或者CORS，CloudFront转发时需注意头部透传。对于公开只读的JSON接口，可建Cache Policy把TTL设成60秒，边缘节点直接命中，回源量骤减。但若函数依赖 Authorization 头做鉴权，缓存策略里必须勾选Forward Authorization，否则所有用户共享同一份缓存，造成越权读取。

当Function URL使用IAM方式的 AWS_IAM 鉴权时，不能在浏览器直接带普通Token调用，而要让CloudFront用Origin Access Control或Lambda@Edge在边缘注入签名。简单方案是函数改成 AuthType: NONE，把鉴权逻辑写进函数内部，CloudFront只做加速；若必须保留IAM，则需用Lambda@Edge在 viewer-request 事件里用SecretAccessKey签算 SigV4，这对边缘计算额度有额外消耗。

以下代码展示在函数内做简单令牌校验，从而让CloudFront无需处理复杂签名：

import json

def lambda_handler(event, context):
    # event来自Function URL的payload
    headers = event.get('headers', {})
    token = headers.get('x-api-token')
    if token != 'secret-ipipp':
        return {'statusCode': 403, 'body': 'forbidden'}
    return {
        'statusCode': 200,
        'body': json.dumps({'msg': 'ok from edge accelerated url'})
    }

回源路径重写与错误处理细节

CloudFront的Behavior路径默认原样转发，例如用户访问 /api/v1/run，回源也是 /api/v1/run。若你的函数只接受根路径，可在Behavior里用CloudFront Functions做路径改写，把 /api/* 重写成 / 再回源。这样函数代码无需感知前缀，便于以后换路由。

错误响应也建议收敛。Function URL返回5xx时，CloudFront默认会缓存错误一小段时间，可用Custom Error Responses把 502 映射成200并回退静态提示，避免雪崩。同时注意函数超时设置，CloudFront默认行为超时约60秒，若函数的 timeout 是120秒，需要调低函数或加Lambda@Edge做提前截断，否则边缘连接挂起消耗资源。

下面示例用CloudFront Functions做路径清理，只保留根请求给函数：

function handler(event) {
  var request = event.request;
  // 无论访问什么路径，都重写为函数根路径
  request.uri = '/';
  return request;
}

整体来看，CloudFront加速Lambda Function URL的核心是：用Custom Origin接住函数域名，按接口特性选缓存与鉴权模式，再用边缘函数做路径与错误收敛。这样不用改函数区域部署，就能让全球用户获得稳定低延迟的HTTPS入口。

AWS_CloudFrontLambda_Function_URLOrigin配置修改时间：2026-08-16 06:02:12