概念介绍
APIGateway是微服务对外提供服务的一个屏障，它的核心点在于：
- 屏蔽微服务之间通过消息队列、rpc等通信方式，为Web页面和移动APP提供基于HTTP协议的RESTful API接口
- 对每一个http业务请求进行必要的鉴权和数据完整性、合法性检查，以减少微服务的负担，让微服务的代码更纯粹
- 微服务部署体系中，每个微服务可能会部署多个实例，Gateway还承担着在这些实例中进行负载均衡的功能
- 进行必要的日志输出、监控打点等功能，对每一个来自于APP和页面的http请求，生成一个唯一的trace id，并将trace id传导到每一个后续的微服务中，以便后续的查错和性能调优
- Gateway的每一个http请求都是无状态的，采用JWT（Json Web Token）机制实现一个客户端的请求状态信息的传递
APIGateway架构
image.png
访问控制链:
Token(JWT)
JSON Web Token（JWT）是一个非常轻巧的规范（RFC 7951）。这个规范允许我们使用JWT在用户和服务器之间传递安全可靠的信息。
一个JWT实际上就是一个字符串，它由三部分组成，头部、载荷与签名。
头部（Header）：
JWT需要一个头部，头部用于描述关于该JWT的最基本的信息，例如其类型以及签名所用的算法等,被表示成一个JSON对象。
{
"typ": "JWT",
"alg": "HS256"
}
载荷（Payload）:
JWT中存放数据的结构，被表示成一个JSON对象
{
"iss": "",
"iat": 1441593502,
"exp": 1441594722,
"aud": "www.example.com",
"sub": "",
"from_user": "B",
"target_user": "A"
}
签名（签名）:
将上述两部分进行base64编码，并用对应的算法HS256进行加密就可以得到签名，签名的密钥，双方事先约定。完整的JWT如下：
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJmcm9tX3VzZXIiOiJCIiwidGFyZ2V0X3VzZXIiOiJBIn0.rSWamyAYwuHCo7IFAgd1oRpSP7nzL7BF5t7ItqpKViM
Permission 权限控制
可以基于现有权限系统对访问路由权限进行控制。
Rate Limiting 接口访问频次限制
开放接口限制每段时间只能请求一定的次数。限制的单位时间有每小时、每天；限制的维度有单授权用户和单IP；部分特殊接口有单独的请求次数限制。例如：
- 一个应用内单授权用户每小时只能请求开放接口n次
- 一个应用内单授权用户每天累计只能请求开放接口m次
- 一个IP地址每小时只能请求开放接口x次
这样的限制可以有效的保障系统的稳定和安全，并对应紧急情况可以进行接口的熔断和降级处理。
Logging 日志系统
基于APIGateway的日志系统优势：
- 设立统一的应用实例标识符
- 统一日志规范，如：使用UTC时间
- 统一的生成请求标识符，方便调试和排除以及追踪数据流
- 更有效利用聚合工具进行日志管理：GayLog
任务队列
APIGateway可以更加可靠的对任务进行管理和处理。通常的手段有RPC和REST HTTP两种。
RPC
RPC优势：
- 开发速度快：
- 接口维护简单高效
- 学习成本低
- 多语言/跨语言支持
- 已验证成熟稳定
架构图：
image
RESTful
- 每一个URI代表一种资源
- 客户端和服务器之间，传递这种资源的某种表现层
-
客户端通过四个HTTP动词，对服务器端资源进行操作，实现"表现层状态转化"
image
配置中心
Secret
为每个应用配置独立的密钥
Service Registry
通过配置中心，注册服务
image
Service心跳检测
当微服务实例注册到服务中心后，微服务需要定时向服务中心发送心跳。若服务中心在一定时间内没有收到心跳信息，则会注销此实例。
IP Table
防火墙，白名单/黑明单。
Permission Group
应用权限分组，方便权限分配。
