API网关统一鉴权与分级限流.docx

API网关统一鉴权与分级限流架构设计方案实施实例

（软件研发技术文档·数据与实例为据）

第一章背景与建设目标

本文档记录开放平台服务商把散落在各业务服务的鉴权与限流收敛到统一API网关的过程。改造前28个后端服务各写一套鉴权，密钥硬编码、越权漏洞频发，全年安全事件9起。

目标定4条：鉴权逻辑一处维护全服务生效、非法请求在入口拦下、按调用方配额分级限流、单请求鉴权开销不超5毫秒。团队分5期、120天完成收敛。

令牌签发与校验分离部署。团队把签发放在独立认证服务、校验走网关本地公钥，避免每次校验回源认证服务、单请求省约2毫秒。近半年认证服务日均签发约8600万张令牌、校验全部在网关侧本地完成