Sobald Sie ein Auth-Plug-in für einen Dienst aktivieren, benötigen alle seine Ressourcen Authentifizierung, was ist, wenn ich einige Ressourcen auf die weiße Liste setzen und sie öffentlich verfügbar machen möchte.Kong für einen einzelnen Dienst mit öffentlichen und privaten Ressourcen
Dies ist nur möglich, wenn Sie (a) Anfragepfade verwenden, um Ihre APIs zu unterscheiden (im Gegensatz zur Verwendung von Hosts) und (b) mehrere APIs für Ihre Ressource verwenden.
Typischer Aufbau mit Kong wäre z.B. haben einen /private/ und einen /public/ Endpunkt, der normalerweise verschiedene Sätze von Plugins haben würde.
Eg, der /private hat man eine key-auth-Plugin (mit acl Zugriffsrechte auf die Verbraucher geben), während der /public Endpunkt jede Art nicht zu der Zulassung Plugin hätte (aber immer noch Rate Limiting oder andere Arten haben könnte von Plugins offensichtlich).
Mit diesem muss ich eine Sicherheitsschicht selbst in den Service hinzufügen, der prüft, von wo die Anfrage kommt, um die privaten Teile innerhalb der öffentlichen API zu schützen? –
Nein, oder, nun ja, Sie müssen sicherstellen, dass es nicht möglich ist, den API-Endpunkt direkt aufzurufen, ohne Kong. Aber anders als das: Wenn Sie den '/ private' Endpunkt mit einigen Mitteln wie' key-auth' oder ähnlichem sichern, können Sie sicher sein, dass es nicht möglich ist, ohne einen Schlüssel (d. H. Einen gültigen Verbraucher) anzurufen. Der '/ public' Teil würden Sie ohne Authentifizierung verlassen, d. H. Frei verfügbar. – donmartin