API 网关策略二三事

作者暴渊，API7.ai 技术工程师，Apache APISIX Committer。

近些年随着云原生和微服务架构的日趋发展，API 网关以流量入口的角色在技术架构中扮演着越来越重要的作用。API 网关主要负责接收所有请求的流量并进行处理转发至上游服务，API 网关的策略决定了 API 网关处理这些流量的逻辑与规则，直接决定了实际的业务流量行为。

什么是 API 网关策略？

API 网关一般位于所有的上游服务之前，当用户向服务发送请求后请求会先到 API 网关，API 网关接收到请求之后一般会判断几件事情：

1. 请求是否合法，比如是否来自被禁止访问的用户列表中；
2. 这个请求是否通过认证，访问的内容是否是经过授权的；
3. 请求是否触发了某些限制规则，比如限流限速等；
4. 请求应该转发给哪个上游服务。

经过这一系列步骤，这个请求要么不符合预设的规则被拒绝，要么经过了层层处理正确到达指定的上游服务中。我们将这些处理规则称之为 API 网关的策略。这些规则由网关的管理员在网关运行时不断添加至网关中，网关接受这些规则并根据这些规则作出正确的流量处理行为。

以 API 网关 Apache APISIX 为例，APISIX 的配置信息有两种：网关启动用的配置文件，比如 config.yaml，这个文件决定了网关正常启动所必须的一些配置。另外在运行时管理员可以通过 Admin API 动态创建各种规则与配置，比如 Route、Consumer、Plugin 等等。API 网关的策略就是管理员通过 Admin API 动态创建的各种规则与配置。

本文不再额外描述基本常用场景，而是针对认证授权、安全、流量处理与可观测性这四类 API 网关中重要的场景进行阐述，介绍每种场景下包含的一些 API 网关策略的作用以及使用方法。

认证和授权策略

认证可以确认 API 调用者的身份，授权主要限制调用者仅能访问权限内的资源。

比如说一位乘客前往车站出行，进入车站之前会使用身份证进行“认证”确认身份，在进入车站后出示车票，经工作人员确认后被“授权”进入某班列车。

认证授权类策略主要目的是保证网关转发到上游服务的所有请求都是经过认证和授权的，不会出现非法请求。并且访问的都是权限范围内的资源。比较常用的策略有下面几种：

Basic Auth

基本访问认证策略，这是一种最简单的访问控制技术。一般由用户的 HTTP 代理在发出请求时携带用于认证的请求头，一般为：Authorization: Basic <credentials>，credentials 中即包含了用户认证需要的用户 ID 和密码，使用 : 隔离。这种方式不需要登陆页面、cookie 等繁杂的设置，仅仅基于请求头中的简单凭据信息进行认证，一般为用户名和密码，配置使用起来较为简单。

携带基本认证的 cURL 请求的示例如下，用户名为 username，密码为 password：

curl -i -u 'username:password' http://127.0.0.1:8080/hello

需要注意的是 credentials 中的信息在传输过程中并不会被加密，仅仅做 Base64 编码，所以通常需要和 HTTPS 一起使用来保证密码的安全性。

在网关中实施这一策略后，未携带凭据的请求将无法正常通过网关转发，除非在请求中携带了正确的认证信息，实现了最小成本下为 API 添加了访问验证。

Key Auth

K