在微服务中使用 APIGateway 处理认证和授权

API 网关认证是管控通过API传输的数据的重要手段。

总的来说，API网管认证是使用预定义的一些凭证，认证某一的消费者（用户或服务）有没有权限访问当前的API。认证的目的是把没有通过认证的访问拦截掉。

为什么API网关认证很重要

API，是一种从某个端点请求数据并发送到你的中央数据库的方式。
端点可能是一下几种类型：

• 通过网络应用访问API的人类用户
• 通过物联网 API 返回数据的一组硬件或设备
• 使用内部API提交或处理数据的员工或合作商
  无论哪种情况，认证都很必要。外部 API，包括面向用户的 API 和 IoT 设备的 API，最好在允许通过 API 传递数据之前就对端点认证。这可以防止错误和恶意提交数据，帮助管理传输的数据总量，并提供必要的安全层，以便您可以实施访问控制，包括在订阅过期时切断访问的选项。对于内部 API，身份验证似乎不那么重要，但它仍然是验证传输的数据是否已授权以及是否要将其传输到数据存储的重要步骤。
  身份验证还使您有机会确定如何处理失败的请求。这可能意味着只需阻塞请求并返回错误代码，但在某些情况下，您可能仍然希望提供有限的访问。Kong 允许通过通过匿名认证处理这类场景。

Kong API 网关如何认证

kong 支持不同的认证插件，用于把流量转发到上游服务，包括 API 和网管。
身份验证插件可以配置为应用于API网关内的服务实体。反过来，服务实体与它们所代表的上游服务一一对应，本质上意味着认证插件直接应用于那些上游服务。对访问进行身份验证有几种不同的方法，我们稍后将介绍这些方法&#x