云原生架构下的 API 网关实践： Kong （三）

在前面的文章介绍了 Kong 的相关实践，链接，本文将会介绍 Kong 的利器：插件以及自定义插件。

Kong 几种常用插件的应用

请求到达 Kong，在转发给服务端应用之前，我们可以应用 Kong 自带的插件对请求进行处理，如合法认证、限流控制、黑白名单校验和日志采集等等。同时，我们也可以按照 Kong 的教程文档，定制开发属于自己的插件。本小节将会选择其中的两个插件示例应用，其余的插件应用，可以参见：https://docs.konghq.com/hub/。

JWT 认证插件

JWT 是目前最流行的跨域身份验证解决方案。作为一个开放的标准（RFC 7519)，定义了一种简洁的、自包含的方法用于通信双方之间以 JSON 对象的形式安全的传递信息。因为数字签名的存在，这些信息是可信的。

关于为什么使用 JWT，不在本小节详细论述，具体可见 统一认证与授权在微服务架构中的设计与实战。Kong 提供了 JWT 认证插件，用以验证包含 HS256 或 RS256 签名的 JWT 的请求（如RFC 7519中所述）。每个消费者都将拥有 JWT 凭证（公钥和密钥），这些凭证必须用于签署其 JWT。JWT 令牌可以通过请求字符串、cookie 或者认证头部传递。Kong 将会验证令牌的签名，通过则转发，否则直接丢弃请求。

我们在前面小节配置的路由基础上，增加 JWT 认证插件。

curl -X POST http://localhost:8001/routes/e33d6aeb-4f35-4219-86c2-a41e879eda36/plugins \
--data "name=jwt"

可以看到，在插件列表增加了相应的记录。

在增加了 JWT 插件之后，就没法直接访问 /api/blog 接口了，接口返回："message": "Unauthorized"。提示客户端要访问需要提供 JWT 的认证信息。因此，我们需要创建用户：

curl -i -X POST \
--url http://localhost:8001/consumers/  \
--data "username=aoho"

如上创建了一个名为 aoho 的用户。

创建好用户之后，需要获取用户 JWT 凭证，执行如下的调用：

curl -i -X POST \
--url http://localhost:8001/consumers/aoho/jwt \
--header "Content-Type: application/x-www-form-urlencoded"

// 响应
{
	"rsa_public_key": null,
	"created_at": 1563566125,
	"consumer": {
		"id": "8c0e1ab4-8411-42fc-ab80-5eccf472d2fd"
	},
	"id": "1d69281d-5083-4db0-b42f-37b74e6d20ad",
	"algorithm": "HS256",
	"secret": "olsIeVjfVSF4RuQuylTMX4x53NDAOQyO",
	"key": "TOjHFM4m1qQuPPReb8BTWAYCdM38xi3C"
}

使用 key 和 secret 在 https://jwt.io 可以生成 JWT 凭证信息。在实际的使用过程中，我们通过编码实现，此处为了演示使用网页工具生成 Token。

将生成的 Token，配置到请求的认证头部，再次执行请求：

可以看到，我们能够正常请求相应的 API 接口。JWT 认证插件应用成功。

Prometheus 可视化监控

Prometheus 是一套开源的系统监控报警框架。它启发于 Google 的 borgmon 监控系统，由工作在 SoundCloud 的 google 前员工在 2012 年创建，作为社区开源项目进行开发，并于 2015 年正式发布。2016 年，Prometheus 正式加入 Cloud Native Computing Foundation，成为受欢迎度仅次于 Kubernetes 的项目。作为新一代的监控框架，Prometheus 适用于记录时间序列数据，具有强大的多维度数据模型、灵活而强大的查询语句、易于管理和伸缩等特点。

Kong 官方提供的 Prometheus 插件，可用的 metric 如下：

• 状态码：上游服务返回的 HTTP 状态码；
• 时延柱状图：Kong 中的时延都将被记录，包括如下：
  • 请求：完整请求的时延；
  • Kong：Kong