API 网关

为什么需要 API 网关

没有 API 网关时，每个微服务都要自己处理 JWT 验证、限流、CORS 头、访问日志，代码重复且风险分散（某个团队忘了加鉴权就是安全漏洞）。外部客户端（App、浏览器）直接调用各微服务也意味着耦合——服务地址变了、协议升级了，客户端都要跟着改。

API 网关把这些共性逻辑统一到一个地方。客户端只需知道网关的统一地址，网关负责认证、路由到后端服务、聚合多个服务的响应、处理协议转换（外部 REST 转内部 gRPC）。Netflix 的 Zuul（2013 年开源）是业界最早流行的开源 API 网关之一。[1]

技术选型对比

目前主流 API 网关的定位有所不同：

• Kong（2015 年，基于 Nginx + Lua / OpenResty）：插件生态最丰富，企业版功能强，社区版免费
• Apache APISIX（2019 年，字节跳动和 API7.ai 联合开源）：性能比 Kong 更高，路由匹配基于基数树，动态配置无需重启，国内使用广泛
• AWS API Gateway：全托管，与 Lambda 深度集成，适合无服务器场景，但费用较高（每百万请求约 3.5 美元）
• Traefik：Kubernetes 原生，自动发现 Ingress 规则，DevOps 团队喜欢