使用 API 網關時用戶注冊如何工作

Question

我正在閱讀有關 API 網關（Kong）的信息，我想將它集成到我的應用程序中。 我見過的每個教程都使用 Kong API 或通過像 Konga 這樣的儀表板為服務創建消費者。 我已經有一個用戶注冊/認證服務。 API 網關如何替代它？ 應該如何更改用戶注冊，以便 Kong 知道？ 以及登錄如何工作，因為在所有示例中，我看到 ApiKeys 或 JWT 秘密是在 Kong 中創建的？ 任何機構都可以闡明這在實踐中是如何運作的嗎？

Answer 1

在我看來，Kong 不應該取代用戶注冊/身份驗證服務。 但是，它可以幫助您強制執行身份驗證。

有多種方法可以保護您的 API 免受未經授權的訪問。 這些包括：

• API 密鑰：此類型與key-auth插件一起使用，並非用於驗證用戶（即自然人），而是用於驗證消費者（即其他系統）。
• JWT 令牌：此類型與jwt插件一起使用，適用於用戶身份驗證。 Kong 負責驗證 JWT 令牌（通過檢查自包含令牌的簽名和到期時間）。 您當然可以使用自定義 Kong 插件或在您的上游服務中進行進一步檢查。

因此，我認為您不應該將 Kong 視為您的用戶服務的替代品，而應將其視為一種補充/補充，甚至可以在請求到達上游服務之前幫助您執行安全策略。