【身份与访问控制工程】API Gateway、BFF 与边界认证授权
内容提要
在微服务架构中，API网关是流量的关键节点，负责认证、授权和限流等功能。但网关的能力有限，无法处理复杂的业务数据授权。文章强调了网关、服务和数据库在认证授权中的不同职责，提出了三层防御模型，并比较了常见的网关方案（如Istio、Kong、APISIX）。建议在设计时避免将所有授权逻辑集中在网关，强调纵深防御的重要性。
关键要点
-
在微服务架构中，API网关是流量的关键节点，负责认证、授权和限流等功能。
-
网关的能力有限，无法处理复杂的业务数据授权，建议将授权逻辑分散到服务和数据库。
-
提出了三层防御模型：网关负责粗粒度授权，服务负责细粒度授权，数据库负责强制隔离。
-
比较了常见的网关方案（如Istio、Kong、APISIX），并给出选型建议。
-
强调纵深防御的重要性，任何一层被绕过，其他层仍然起作用。
延伸解读
API网关的局限性
虽然API网关在微服务架构中扮演着重要角色，但其能力有限，尤其在处理复杂的业务数据授权时。将所有授权逻辑集中在网关上可能导致安全隐患，建议将授权逻辑分散到服务和数据库中，以实现更细粒度的控制。
纵深防御的重要性
文章强调了纵深防御的概念，即在不同层次上实施安全措施，以防止单点故障导致的安全风险。每一层的独立防护可以有效降低整体系统被攻破的概率，确保即使某一层被绕过，其他层仍能发挥作用。
选择合适的网关方案
在选择API网关方案时，需考虑团队的技术栈和业务需求。文章对Istio、Kong和APISIX进行了比较，指出各自的优缺点，帮助读者根据实际情况做出更合适的选择。
延伸问答
API网关在微服务架构中主要负责哪些功能？
API网关主要负责认证、授权、限流和审计等功能。
为什么不建议将所有授权逻辑集中在API网关上？
因为网关的能力有限，无法处理复杂的业务数据授权，集中授权会导致安全风险。
三层防御模型的各层职责是什么？
第一层是网关，负责粗粒度授权；第二层是服务，负责细粒度授权；第三层是数据库，负责强制隔离。
在选择API网关时，Istio、Kong和APISIX有什么区别？
Istio支持服务网格和细粒度授权，Kong有成熟的插件生态，APISIX在性能上表现优异。
BFF模式的主要作用是什么？
BFF模式主要用于为特定前端聚合请求、管理会话和进行身份转换。
纵深防御的核心思想是什么？
纵深防御的核心思想是每一层都独立起作用，任何一层被绕过，其他层仍然能拦下来。
