会话隔离配置

1. 安装依赖

   macOS / Linux

   # 使用 pip3 安装
   pip3 install alibabacloud_fc20230330 alibabacloud_credentials alibabacloud_tea_openapi alibabacloud_tea_util
   
   # 如遇权限问题，使用 --user 参数
   pip3 install --user alibabacloud_fc20230330 alibabacloud_credentials alibabacloud_tea_openapi alibabacloud_tea_util
   
   # macOS Homebrew Python 环境需使用 --break-system-packages
   pip3 install --break-system-packages alibabacloud_fc20230330 alibabacloud_credentials alibabacloud_tea_openapi alibabacloud_tea_util

   Windows

   # 使用 pip 安装
   pip install alibabacloud_fc20230330 alibabacloud_credentials alibabacloud_tea_openapi alibabacloud_tea_util
   
   # 或使用 Python 3 指定
   py -3 -m pip install alibabacloud_fc20230330 alibabacloud_credentials alibabacloud_tea_openapi alibabacloud_tea_util

2. 编写创建会话的代码

   创建Python代码文件（如：creatSession.py），将下列代码复制到文件中并替换核心参数。示例演示了如何为“租户 A”创建一个会话，并将其专属的 NAS 目录 (<YOUR-NAS-SERVER-ADDR>:/tenant-a-data) 挂载到实例的 /mnt/data 路径，同时指定用户身份为 UID=1001 和 GID=1001。

   核心方法及核心参数说明：

   重要

   会话动态挂载NAS和在函数配置>高级配置>存储中挂载NAS可以同时配置，但是需要注意：

   • 下文NASConfig 中定义的 User ID/Group ID必须与函数挂载配置中使用的用户（User ID）/用户组（Group ID）保持一致

   • 同一个挂载路径 (mount_dir) 不能同时用于会话动态挂载和函数挂载

   • config.endpoint：

     • <账号ID>：替换为阿里云账号ID；

     • <Endpoint>：请参考函数计算3.0 服务区域列表，规则为fcv3.[region_id].aliyuns.com；

   • CreateSessionInput：

     • session_ttlin_seconds：会话总生命周期（单位：秒）；

     • session_idle_timeout_in_seconds：会话浅休眠（原闲置）过期时间（单位：秒）；

   • client.create_session_with_options：将<函数名称>替换为创建Session的函数名称；

     • NASMountConfig：NAS 挂载配置

       • mount_dir：实例内的挂载路径，如：/home/test

       • server_addr：NAS 文件存储地址及租户专属子目录

     • user_id：为此会话指定独立的 POSIX User ID

     • group_id：为此会话指定独立的 POSIX Group ID

   # -*- coding: utf-8 -*-
   from alibabacloud_fc20230330.client import Client as FC20230330Client
   from alibabacloud_credentials.client import Client as CredentialClient
   from alibabacloud_tea_openapi import models as open_api_models
   from alibabacloud_fc20230330 import models as fc20230330_models
   from alibabacloud_tea_util import models as util_models
   
   # 1. 创建账号Client
   credential = CredentialClient()
   config = open_api_models.Config(credential=credential)
   config.endpoint = f'<账号ID>.<Endpoint>'
   client = FC20230330Client(config)
   
   # 2. 准备 NAS 挂载配置
   nas_mount_config = fc20230330_models.NASMountConfig(
       mount_dir='/mnt/data',  # 实例内的挂载路径
       server_addr='<YOUR-NAS-SERVER-ADDR>:/<tenant-a-path>'  # NAS 文件存储地址及租户专属子目录
   )
   
   # 3. 配置 NAS 和用户身份（为租户A分配独立UID/GID）
   nas_config = fc20230330_models.NASConfig(
       mount_points=[nas_mount_config],
       user_id=1001,  # 为此会话指定独立的 POSIX User ID
       group_id=1001  # 为此会话指定独立的 POSIX Group ID
   )
   
   # 4. 构造 CreateSession 请求
   create_session_input = fc20230330_models.CreateSessionInput(
       nas_config=nas_config,
       session_ttlin_seconds=3600,
       session_idle_timeout_in_seconds=600
   )
   create_session_request = fc20230330_models.CreateSessionRequest(
       body=create_session_input
   )
   
   # 5. 发起请求
   runtime = util_models.RuntimeOptions()
   response = client.create_session_with_options('<函数名称>', create_session_request, {}, runtime)
   
   # 6. 从响应中获取 sessionId
   print(response.body.to_map())
   session_id = response.body.session_id
   print(f"Session created successfully. Session ID: {session_id}")
   

3. 运行代码

   export ALIBABA_CLOUD_ACCESS_KEY_ID=LTAI****************
   export ALIBABA_CLOUD_ACCESS_KEY_SECRET=<yourAccessKeySecret>
   python3 creatSession.py

   参数说明：

   • ALIBABA_CLOUD_ACCESS_KEY_ID：阿里云账号或 RAM 用户的AccessKey ID；

   • ALIBABA_CLOUD_ACCESS_KEY_SECRET：阿里云账号或 RAM 用户的AccessKey Secret。

4. 返回结果示例

   {
     'containerId': 'c-********-********-************', 
     'createdTime': '2025-10-30T06:38:10Z', 
     'functionName': '****', 
     'lastModifiedTime': '2025-10-30T06:38:10Z', 
     'nasConfig': 
       {
         'groupId': 1001, 
         'mountPoints': [
           {
             'enableTLS': False, 
             'mountDir': '/home/test', 
             'serverAddr': '*-*.*.nas.aliyuncs.com:/test'
              }
                ], 
                'userId': 1001
                }, 
      'qualifier': 'LATEST', 
      'sessionAffinityType': 'HEADER_FIELD', 
      'sessionId': '******************', 
      'sessionIdleTimeoutInSeconds': 600, 
      'sessionStatus': 'Active', 
      'sessionTTLInSeconds': 3600
      }
   Session created successfully. Session ID: ************

步骤二：在函数中使用挂载的 NAS

现在，调用函数时携带上一步获取的 SessionID，函数实例内部即可访问到已挂载的 /mnt/data 目录。下面以Web函数为例，修改函数内代码并重新部署：

import os
from flask import Flask, request, jsonify

# ... (app setup) ...

# 假设 NAS 挂载点在 /mnt/data
NAS_MOUNT_PATH = '/mnt/data'
app = Flask(__name__)


@app.route('/<path:path>', methods=['GET', 'POST'])
def handle_nas_request(path):
    rid = request.headers.get('x-fc-request-id')
    print(f"FC Invoke Start RequestId: {rid}")

    # 构造文件在 NAS 上的完整路径
    # 注意：需要防止路径穿越攻击
    safe_path = os.path.normpath(os.path.join(NAS_MOUNT_PATH, path))
    if not safe_path.startswith(NAS_MOUNT_PATH):
        return "Path traversal attempt detected!", 400

    response_data = {}

    if request.method == 'POST':
        # 写入文件
        body = request.data.decode('utf-8')
        try:
            with open(safe_path, 'w') as f:
                f.write(body)
            response_data['message'] = f"Successfully wrote to {safe_path}"
            print(f"Wrote to {safe_path}")
        except Exception as e:
            return str(e), 500

    elif request.method == 'GET':
        # 读取文件
        try:
            if os.path.exists(safe_path) and os.path.isfile(safe_path):
                with open(safe_path, 'r') as f:
                    content = f.read()
                response_data['content'] = content
                print(f"Read from {safe_path}")
            else:
                return f"File not found: {safe_path}", 404
        except Exception as e:
            return str(e), 500

    print(f"FC Invoke End RequestId: {rid}")
    return jsonify(response_data)  # 使用 jsonify 返回 JSON 格式的响应

# ... (if __name__ == '__main__': block) ...

会话到期自动释放触发条件：

主动释放

用户可通过调用 DeleteSession 接口主动删除会话：

DELETE /services/{serviceName}/functions/{functionName}/sessions/{sessionId}

成功后：

• 对应实例立即释放；

• 路由规则失效；

• 后续使用旧会话 ID 的请求将被拒绝或触发新会话（取决于复用会话 ID 配置）。

  说明

  复用会话ID配置：调用CreateSession - 创建会话资源接口时，可通过配置disableSessionIdReuse来控制是否可以复用会话 ID。

  • 默认为false，表示可以复用，表示在 SessionID 会话过期后，可携带相同 SessionID 继续发起请求，系统将视为新会话绑定新实例；

  • 当配置为 true，表示在 SessionID 会话过期后，不可复用 SessionID

工作原理：

该功能将 NAS 挂载操作与 CreateSession - 创建会话资源 API 调用深度集成。以 HeaderField 亲和为例，整体流程如下：

准备阶段：创建并配置带有存储的会话

此阶段的目标是创建一个与特定存储绑定的、隔离的会话环境，以便后续使用。

1. 发起创建请求：后端管理服务调用 CreateSession API，并在请求中指定NAS挂载配置以及用于隔离的用户身份（UID/GID）。

2. 准备实例与挂载：函数计算（FC）平台接收请求后，准备一个函数实例，该函数实例会根据配置执行NAS挂载操作，将专属目录挂载到实例的指定路径（例如 /mnt/data）。

3. 绑定并返回ID：挂载成功后，平台将此实例与一个新生成的唯一SessionID进行绑定，并将该ID返回给后端服务。

调用阶段：使用已配置的会话

此阶段使用已准备好的会话环境来执行实际的业务逻辑。

1. 发起调用请求：后端管理服务在调用 InvokeFunction API 时，通过一个特定的HTTP请求头（如 x-affinity-header-v1）传入之前获取的 SessionID。

2. 路由请求：函数计算平台的网关与调度器根据此SessionID，将请求精确地路由到已绑定的特定函数实例上。

3. 执行代码：函数代码在该实例中执行。此时，由于环境和权限都已预先配置好，代码可以直接读写已挂载的NAS目录。

4. 返回结果：函数执行完毕后，将结果逐层返回给最初的调用方。

关键特性：

示例：租户 A（UID=10001）无法读取租户 B（UID=10002）的文件，即使在同一 NAS 上。