## 一、为什么需要API网关

在微服务架构中，客户端直接调用后端服务会带来诸多问题：

- **客户端复杂度高**：需要知道所有服务地址，调用逻辑复杂
- **横切关注点重复**：每个服务都要实现认证、限流、日志
- **安全风险**：后端服务直接暴露，存在安全漏洞
- **难以统一治理**：无法统一监控、限流、降级

**API网关作为统一入口：**
- 路由转发：请求路由到后端服务
- 负载均衡：多实例负载
- 认证授权：统一身份认证
- 限流熔断：流量控制
- 日志监控：请求链路追踪

## 二、Kong网关实战

### 1. 安装部署

**Docker方式：**

```bash
# 创建网络
docker network create kong-net

# 启动PostgreSQL（Kong的数据库）
docker run -d \
    --name kong-database \
    --network=kong-net \
    -p 5432:5432 \
    -e "POSTGRES_USER=kong" \
    -e "POSTGRES_DB=kong" \
    -e "POSTGRES_PASSWORD=kong" \
    postgres:13

# 初始化Kong数据库
docker run --rm \
    --network=kong-net \
    -e "KONG_DATABASE=postgres" \
    -e "KONG_PG_HOST=kong-database" \
    -e "KONG_PG_PASSWORD=kong" \
    -e "KONG_PROXY_ACCESS_LOG=/dev/stdout" \
    -e "KONG_ADMIN_ACCESS_LOG=/dev/stdout" \
    kong:latest kong migrations bootstrap

# 启动Kong
docker run -d \
    --name kong \
    --network=kong-net \
    -e "KONG_DATABASE=postgres" \
    -e "KONG_PG_HOST=kong-database" \
    -e "KONG_PG_PASSWORD=kong" \
    -e "KONG_PROXY_LISTEN=0.0.0.0:8000" \
    -e "KONG_ADMIN_LISTEN=0.0.0.0:8001" \
    -p 8000:8000 \
    -p 8443:8443 \
    -p 8001:8001 \
    -p 8444:8444 \
    kong:latest
```

**DB-less模式（无数据库）：**

```yaml
# docker-compose.yml
version: '3'
services:
  kong:
    image: kong:latest
    environment:
      KONG_DATABASE: off
      KONG_DECLARATIVE_CONFIG: /usr/local/kong/kong.yml
    volumes:
      - ./kong.yml:/usr/local/kong/kong.yml
    ports:
      - "8000:8000"
      - "8443:8443"
```

### 2. 添加服务

**方式一：Admin API**

```bash
# 添加服务
curl -X POST http://localhost:8001/services/ \
  --data "name=order-service" \
  --data "url=http://order-service:8080" \
  --data "protocol=http"

# 添加路由
curl -X POST http://localhost:8001/services/order-service/routes/ \
  --data "name=order-route" \
  --data "paths[]=/order" \
  --data "methods[]=GET" \
  --data "methods[]=POST"

# 验证
curl -i http://localhost:8000/order/list
```

**方式二：Declarative配置**

```yaml
# kong.yml
_format_version: "3.0"
services:
  - name: order-service
    url: http://order-service:8080
    routes:
      - name: order-route
        paths:
          - /order
        methods:
          - GET
          - POST
    plugins:
      - name: rate-limiting
        config:
          second: 100
          policy: local

  - name: user-service
    url: http://user-service:8080
    routes:
      - name: user-route
        paths:
          - /user
    plugins:
      - name: jwt
```

### 3. 插件配置

**限流插件：**

```bash
# 本地限流（每分钟100次）
curl -X POST http://localhost:8001/services/order-service/plugins/ \
  --data "name=rate-limiting" \
  --data "config.second=100" \
  --data "config.minute=1000" \
  --data "config.policy=local"

# Redis限流（分布式限流）
curl -X POST http://localhost:8001/services/order-service/plugins/ \
  --data "name=rate-limiting" \
  --data "config.second=100" \
  --data "config.policy=redis" \
  --data "config.redis_host=redis-server" \
  --data "config.redis_port=6379"
```

**JWT认证插件：**

```bash
curl -X POST http://localhost:8001/services/user-service/plugins/ \
  --data "name=jwt" \
  --data "config.uri_param_names=jwt" \
  --data "config.cookie_names=token"
```

**CORS跨域插件：**

```bash
curl -X POST http://localhost:8001/services/order-service/plugins/ \
  --data "name=cors" \
  --data "config.origins=*" \
  --data "config.methods=GET,POST,PUT,DELETE" \
  --data "config.headers=Content-Type,Authorization" \
  --data "config.exposed_headers=X-Total-Count" \
  --data "config.credentials=true" \
  --data "config.max_age=3600"
```

**请求转换插件：**

```bash
curl -X POST http://localhost:8001/services/order-service/plugins/ \
  --data "name=request-transformer" \
  --data "config.add.headers=X-Kong-Request-ID:$(uuidgen)" \
  --data "config.remove.headers=User-Agent"
```

## 三、APISIX网关实战

### 1. 安装部署

**Docker Compose方式：**

```yaml
# docker-compose.yml
version: '3'
services:
  apisix:
    image: apache/apisix:latest
    environment:
      APISIX_DEFAULTS: |
        nginx_config:
          worker_rlimit_nofile: 65536
    volumes:
      - ./apisix/config.yaml:/usr/local/apisix/conf/config.yaml
      - ./apisix/routes.yaml:/usr/local/apisix/conf/routes.yaml
    ports:
      - "9080:9080"
      - "9443:9443"
    depends_on:
      - etcd
  
  etcd:
    image: bitnami/etcd:latest
    environment:
      - ALLOW_NONE_AUTHENTICATION=yes
      - ETCD_ADVERTISE_CLIENT_URLS=http://etcd:2379
    volumes:
      - etcd_data:/bitnami/etcd

volumes:
  etcd_data:
```

### 2. 配置示例

**静态路由配置：**

```yaml
# routes.yaml
routes:
  # 订单服务路由
  - id: order-service
    uri: /order/*
    upstream:
      type: roundrobin
      nodes:
        "order-service-1:8080": 1
        "order-service-2:8080": 1
    plugins:
      # 限流
      limit-req:
        rate: 100
        burst: 200
        rejected_code: 429
      # JWT认证
      jwt-auth:
        key: user-key
        secret: my-secret-key
      # 链路追踪
      apache-apisix-logger:
        host: log-server
        port: 5044

  # 用户服务路由
  - id: user-service
    uri: /user/*
    upstream:
      type: roundrobin
      nodes:
        "user-service-1:8080": 1
        "user-service-2:8080": 1
    plugins:
      proxy-cache:
        cache_key:
          - uri
          - args
        cache_http_status:
          - 200
        cache_ttl: 60

# 全局插件
plugins:
  prometheus:
    enabled: true
```

### 3. 动态路由（Admin API）

```bash
# 添加路由
curl -X PUT http://127.0.0.1:9180/apisix/admin/routes/1 \
  -H "X-API-KEY: edd1c9f34a337a9f8ec4e6e4a6e0" \
  -H "Content-Type: application/json" \
  -d '{
    "uri": "/api/*",
    "upstream": {
      "type": "roundrobin",
      "nodes": {
        "127.0.0.1:8080": 1
      }
    },
    "plugins": {
      "limit-req": {
        "rate": 100,
        "burst": 50,
        "rejected_code": 503
      }
    }
  }'
```

### 4. 基于请求头的路由

```lua
-- 自定义路由逻辑
function route_by_header(conf, ctx)
    local version = ngx.req.get_headers()["X-Version"]
    local service_name = ctx.var.arg_service
    
    if version == "v2" then
        return "v2-backend"
    elseif version == "v1" then
        return "v1-backend"
    end
    
    return "default-backend"
end
```

### 5. 健康检查

```yaml
upstreams:
  - id: order-service
    type: roundrobin
    checks:
      active:
        type: http
        http_path: /health
        healthy:
          interval: 2
          successes: 2
        unhealthy:
          interval: 1
          http_failures: 3
      passive:
        type: http
        healthy:
          successes: 3
        unhealthy:
          http_failures: 3
          tcp_failures: 3
    nodes:
      "order-service-1:8080": 100
      "order-service-2:8080": 100
```

## 四、网关选型对比

### 功能对比

| 特性 | Kong | APISIX | Nginx |
|------|------|--------|-------|
| 性能 | 高 | 高 | 最高 |
| 动态配置 | 支持 | 支持 | 需reload |
| 插件生态 | 丰富 | 丰富 | 有限 |
| 学习成本 | 中 | 中 | 低 |
| 配置格式 | Declarative YAML | YAML/JSON | Nginx conf |
| 服务发现 | Consul/Eureka | Consul/Nacos | upstream |
| 限流 | 本地/Redis | 本地/Redis | 需扩展 |

### Kong vs APISIX详细对比

| 维度 | Kong | APISIX |
|------|------|--------|
| 架构 | PostgreSQL + Nginx | etcd + Nginx |
| 热更新 | 自动 | 自动 |
| 插件执行时机 | 早 | 可配置 |
| 日志格式 | JSON | JSON/CSV |
| Admin API | RESTful | RESTful |
| Dashboard | 官方提供 | 官方提供 |

### 选型建议

**选择Kong的场景：**
- 已有PostgreSQL基础设施
- 需要成熟的插件生态
- 团队熟悉Kong配置

**选择APISIX的场景：**
- 需要更高的性能
- 使用etcd作为配置中心
- 需要更灵活的插件执行时机

**选择Nginx的场景：**
- 简单的反向代理需求
- 对性能要求极高
- 不需要复杂的功能

## 五、生产最佳实践

### 1. 高可用部署

```
                    ┌─────────────┐
                    │   负载均衡  │
                    └──────┬──────┘
           ┌──────────────┼──────────────┐
           ▼              ▼              ▼
     ┌──────────┐  ┌──────────┐  ┌──────────┐
     │  Kong 1  │  │  Kong 2  │  │  Kong 3  │
     └────┬─────┘  └────┬─────┘  └────┬─────┘
           │             │             │
           └─────────────┼─────────────┘
                         ▼
               ┌─────────────────┐
               │   PostgreSQL     │
               │   (主从复制)     │
               └─────────────────┘
```

### 2. 安全配置

```yaml
# Kong安全插件链
plugins:
  # 1. CORS跨域
  - name: cors
    
  # 2. IP黑名单
  - name: ip-restriction
    config:
      allow: ["10.0.0.0/8", "172.16.0.0/12"]
      deny: []
    
  # 3. 请求限流
  - name: rate-limiting
    config:
      second: 100
      policy: redis
    
  # 4. JWT认证
  - name: jwt
    
  # 5. 请求大小限制
  - name: request-size-limiting
    config:
      allowed: [10, "10kb"]
```

### 3. 监控配置

```yaml
# Kong监控（Prometheus + Grafana）
plugins:
  - name: prometheus
    config:
      per_consumer: false

# Grafana Dashboard
- panels:
  - title: "Kong Request Rate"
    targets:
      - expr: sum(rate(kong_http_requests_total[5m])) by (service)
  
  - title: "Kong Latency"
    targets:
      - expr: histogram_quantile(0.99, rate(kong_latency_ms_bucket[5m]))
```

## 六、总结

API网关是微服务架构的核心组件：

- **统一入口**：简化客户端调用
- **横切关注点**：认证、限流、日志统一处理
- **动态配置**：无需重启即可更新路由和插件
- **可观测性**：完整的请求监控和链路追踪

**选型建议：**
- 小规模场景：Nginx足够
- 中等规模：Kong或APISIX
- 大规模高性能需求：APISIX

**思考题**：你们的系统用的是什么API网关？有没有遇到过性能瓶颈？

---

*个人观点，仅供参考*

【架构实战】API网关架构设计（Kong/APISIX）

客户端复杂度高：需要知道所有服务地址，调用逻辑复杂

横切关注点重复：每个服务都要实现认证、限流、日志

安全风险：后端服务直接暴露，存在安全漏洞

难以统一治理：无法统一监控、限流、降级

研发部经理

后端

网络与通信

架构设计

API网关是微服务架构的核心组件，提供统一入口、认证授权、限流熔断等功能。文章详细对比Kong和APISIX网关的安装部署、插件配置及生产实践，包括Docker部署、动态路由、JWT认证、限流策略等。帮助开发者根据业务需求选择适合的API网关方案，提升微服务架构的安全性和可观测性。

微服务架构

负载均衡

PostgreSQL

数据库

Docker

路由

Redis

Agent

2026采购季 | AI焕新·智启新局

apigw

cngw

postgres

tencentdb-catalog

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云AI代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

功能1上新10个字符

功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符。

功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符。

功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符

功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符

功能4上新

文章&问答评论现已支持表情

全新交互，全新视觉，新增快捷键、悬浮工具栏、高亮块等功能并同时优化现有功能，全面提升创作效率和体验

社区富文本编辑器全新改版！诚邀体验～ 

精选全网热门MCP server，让你的AI更好用 🚀

💥开发者 MCP广场重磅上线！

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

【架构实战】API网关架构设计（Kong/APISIX）-腾讯云开发者社区-腾讯云

【架构实战】API网关架构设计（Kong/APISIX）

【架构实战】API网关架构设计（Kong/APISIX）

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐