插件开发版｜Authing 结合 APISIX 实现统一可配置 API 权限网关

当开发者在构建网站、移动设备或物联网应用程序时，API 网关作为微服务架构中不可或缺的控制组件，是流量的核心进出口。通过有效的权限管控，可以实现认证授权、监控分析等功能，提高 API 的安全性、可用性、拓展性以及优化 API 性能。在上一篇文章（ Authing 结合 APISIX 实现统一可配置 API 权限网关【快速启动版】）中，演示了通过 Authing 权限管理 + APISIX 实现 API 的访问控制效果，本文将教你如何实现上述能力的具体实践方法。

01 关于 Authing

Authing 是国内首款以开发者为中心的全场景身份云产品，集成了所有主流身份认证协议，为企业和开发者提供完善安全的用户认证和访问管理服务。以「API First」作为产品基石，把身份领域所有常用功能都进行了模块化的封装，通过全场景编程语言 SDK 将所有能力 API 化提供给开发者。同时，用户可以灵活的使用 Authing 开放的 RESTful APIs 进行功能拓展，满足不同企业不同业务场景下的身份和权限管理需求。

02 关于 APISIX

Apache APISIX 是一个动态、实时、高性能的 API 网关，提供负载均衡、动态上游、灰度发布、服务熔断、身份认证、可观测性等丰富的流量管理功能。Apache APISIX 不仅支持插件动态变更和热插拔，而且拥有众多实用的插件。Apache APISIX 的 OpenID Connect 插件支持 OpenID Connect 协议，用户可以使用该插件让 Apache APISIX 对接 Authing 服务，作为集中式认证网关部署于企业中。

03 业务目标

通过 Authing 权限管理 + APISIX 实现 API 的访问控制

04 如何实现

本文所涉及到的代码已经上传到 Github

Python 插件：
https://github.com/fehu-asia/authing-apisix-python-agent

Java Adapter:
https://github.com/fehu-asia/authing-apisix-java-adapter

Java 插件：
https://github.com/fehu-asia/authing-apisix-java-agent

4.1 业务架构

系统整体包含了三大部分： Authing 服务集群、Authing 插件适配服务以及 APISIX 网关，本方案建立需要配置和开发的部分有四个部分，Authing API 权限结构配置、APISIX 插件和路由配置、APISIX 插件开发部署以及业务适配服务开发，其中业务适配服务包含了认证和授权的主要逻辑(使用单独服务承载)，避免了插件的频繁更新和部署。

这里需要说明的是，之所以采用 Adapter 的方式来实现，是因为插件我们并不希望经常变动，但需求可能是无法避免的需要经常变动，所以我们将具体的鉴权逻辑放在 Adapter ，插件只实现请求转发和根据 Adapter 的返回结果决定是否放行，同时无状态的插件可以让我们实现更多的场景复用和能力扩展，例如进行鉴权结果的缓存实现，后续只需维护 Adapter 即可。

当然我们也可将具体的逻辑放在插件里。

注意，本教程只用于与 APISIX 和 Authing 进行集成，对于生产环境使用，您需要自行开发插件并保证其安全性及可用性等，本文档不承诺此插件可以用于生产环境。

• APISIX 基础环境搭建

git clone https://github.com/apache/apisix-docker.git
cd apisix-docker/example
docker-compose -p docker-apisix up -d

到这里可以使用 docker ps 查看 apisix docker 进程启动状态， 随后访问 localhost:9000 可以进入 dashboard 界面进行路由和插件的配置。

4.2 在 Authing 对 API 进行管理

登录 Authing 官网：www.authing.com ，进行以下操作：

• 4.2.1 创建应用

配置 Token 签名算法为 RS256 及校验 AccessToken 的方式为 none 。

• 4.2.2 创建用户

进入 Authing 控制台-用户管理-用户列表-点击创建用户后，可以根据不同方式（用户名、手机号、邮箱）创建测试用户，如下图所示：

• 4.2.3 创建 API

进入 Authing 控制台-权限管理-创建资源，可以选择创建树数据类型的资源，如下图所示：

• 4.2.4 创建策略

进入权限管理-数据资源权限-数据策略标签，可以点击创建策略来新建数据访问策略，如下图所示。策略包含了对应的权限空间中定义的数据以及操作，创建后能够基于此策略对不同对象(用户、角色、用户组等)进行授权管理。