Come far rispondere una funzione Lambda da un indirizzo web, senza montare nient'altro

Immagina un piccolo programma che vuoi far girare solo quando qualcuno lo chiama: ricevere l'avviso che un cliente ha pagato, elaborare un modulo di contatto, convertire un'immagine. Non vuoi un server acceso 24 ore su 24 per questo. Per questo esiste Lambda: dai il tuo codice ad Amazon, e Amazon lo esegue solo quando serve e ti fa pagare solo quel tempo. Niente macchine da mantenere.

La domanda è: come lo chiami? La cosa più universale è dargli un indirizzo web, un URL come https://algo.on.aws/, in modo che qualsiasi browser o programma possa "aprirlo" e il tuo codice risponda. Questa guida fa esattamente questo con l'opzione che Lambda include di serie, chiamata URL di funzione. Non c'è da installare né sottoscrivere nient'altro.

Passo dopo passo

1. Verifica che la tua funzione sappia rispondere a una richiesta web

   Quando la funzione viene chiamata dal suo indirizzo web, Lambda le consegna un pacchetto di dati con la richiesta (cosa chiedeva, con quali dati) e si aspetta che il tuo codice restituisca una risposta con due cose: un codice di stato (200 vuol dire "tutto bene") e un corpo (il testo o i dati che restituisci). Se la tua funzione è stata fatta per un altro uso, va adattata. Un esempio minimo, in Node.js, che risponde "ciao, mondo":

   export const handler = async (event) => ({
     statusCode: 200,
     headers: { "Content-Type": "application/json" },
     body: JSON.stringify({ hola: "mundo" })
   });

   Se non programmi tu, passa questo paragrafo a chi lo fa: saprà cosa significa.

2. Decidi chi potrà chiamare la funzione

   È l'unica decisione importante della guida, e conviene capirla bene. Ci sono due opzioni:

   • Solo con credenziali AWS (l'opzione si chiama AWS_IAM): potrà chiamarla solo un tuo programma che abbia permessi nel tuo account Amazon. È la più sicura, ma un browser normale o un servizio esterno non potranno usarla.
   • Aperta (l'opzione si chiama NONE): chiunque conosca l'indirizzo potrà chiamarla. È quello che ti serve se la chiamerà un servizio esterno (un webhook) o una pagina web. In cambio, la sicurezza deve metterla il tuo codice: controllare una password o una firma a ogni chiamata. Lo vediamo nell'ultimo passo.

   Regola semplice: se non sai quale scegliere, scegli la prima. Se la funzione deve ricevere chiamate da fuori del tuo account, scegli la seconda e non saltare l'ultimo passo.

3. Attiva l'indirizzo web

   Nella console AWS entra in Lambda, apri la tua funzione e clicca sulla scheda Configuration. Nel menu a sinistra scegli Function URL e clicca su Create function URL. Scegli il tipo di accesso del passo precedente.

   Se la chiamerà una tua pagina web da un altro dominio, espandi CORS e scrivi l'indirizzo di quella pagina in "Allow origin" (per esempio https://miweb.com). Se metti un asterisco, qualsiasi sito al mondo potrà chiamarla dal browser; evitalo a meno che sia quello che vuoi. Salva. In alto compare il nuovo indirizzo, con questo aspetto: https://xxxxxxxx.lambda-url.eu-west-1.on.aws/. Quello è il tuo URL.

4. Provalo

   Se hai scelto l'opzione aperta, copia l'indirizzo e incollalo nel browser: dovresti vedere la risposta della tua funzione (nell'esempio, il testo "ciao, mondo"). Funziona già.

   Se preferisci provarlo da un terminale, in CloudShell (l'icona del terminale nella barra superiore della console AWS) scrivi:

   curl -i https://xxxxxxxx.lambda-url.eu-west-1.on.aws/

   Se hai scelto l'opzione con credenziali, il browser dirà "Forbidden": è quello che ci si aspetta, perché non porta credenziali. La prova dovrà farla il tuo programma che la chiamerà, usando le librerie AWS, che sanno già firmare le richieste.

5. Guarda il diario delle esecuzioni

   Scheda Monitor, pulsante View CloudWatch logs. Ogni chiamata lascia un'annotazione con quanto ha impiegato e quello che il tuo codice ha scritto. Se una chiamata restituisce un errore, qui vedrai il motivo. Un consiglio che fa risparmiare: in quel gruppo di log, imposta una conservazione di, per esempio, 30 giorni; altrimenti i log si conservano per sempre e si pagano.

6. Se l'hai lasciata aperta, proteggila

   Aperta vuol dire che chiunque può chiamarla, quindi il tuo codice deve controllare qualcosa a ogni chiamata. Di solito: il servizio che ti invia il webhook include una firma o una chiave segreta in ogni avviso, e la tua funzione verifica che sia corretta prima di fare qualsiasi cosa. Quella chiave salvala nelle variabili d'ambiente della funzione (scheda Configuration), non scritta nel codice.

   E metti un tetto a quante volte può essere eseguita contemporaneamente (concorrenza riservata, in Configuration): se qualcuno bombarda l'indirizzo, il tetto evita che la fattura schizzi.

Cosa può andare storto