HTTP API網關選擇之一Kong介紹
Kong是Mashape開源的高性能高可用API網關和API服務管理層。它基于OpenResty，進行API管理，并提供了插件實現API的AOP。Kong在Mashape 管理了超過15,000 個API，為200,000開發者提供了每月數十億的請求支持。本文將從架構、API管理、插件三個層面介紹Kong。
一、架構
按照康威定律，我們系統架構會拆的很散，系統由一堆服務組成，如下圖所示：
如在訪問庫存服務、優惠券服務、價格服務時之前都會做一些特殊處理，如限流、緩存、日志、請求統計。而這些處理幾乎是所有服務都需要的，這不就是我們常說的AOP嘛，當我們服務多起來的時候，應該將這些通用處理集中到一個地方進行管理，如下圖所示：
即通過Kong統一管理通用功能。
Kong的安裝請參考官網示例。Kong整體架構如下所示：
- Kong核心基于OpenResty構建，實現了請求/響應的Lua處理化;
- Kong插件攔截請求/響應，如果接觸過Java Servlet，等價于攔截器，實現請求/響應的AOP處理;
- Kong Restful 管理API提供了API/API消費者/插件的管理;
- 數據中心用于存儲Kong集群節點信息、API、消費者、插件等信息，目前提供了PostgreSQL和Cassandra支持，如果需要高可用建議使用Cassandra;
- dnsmasq用于提供給Nginx DNS解析功能;
- Kong集群中的節點通過gossip協議自動發現其他節點，當通過一個Kong節點的管理API進行一些變更時也會通知其他節點。每個Kong節點的配置信息是會緩存的，如插件，那么當在某一個Kong節點修改了插件配置時，需要通知其他節點配置的變更。
二、API/API消費者/插件管理
Kong的整體流程架構如下圖所示：
1. 添加API服務
首先我們需要通過Kong管理API向Kong注冊API服務，如下所示：
- curl –I –X POST \
- --url http://kong:8001/apis/ \
- --data ‘name=queryStockService’\
- --data ‘upstream_url=http://stock.jd.local/’\
- --data ‘request_host=api.jd.com’
- --data ‘request_path=queryStock’
向Kong添加了一個API，全局***名字為queryStockService，當我們訪問http://api.jd.com/queryStock時會upstream到http://stock.jd.local/queryStock處理，這不就是Nginx反向代理的功能，Kong實現了API的動態添加。
2. 添加API消費者
我們的API中有些是公開的，所有人都可以訪問，而有些API是私有的，只有授權才能訪問。在開放平臺中，只有授權的開發者才能訪問API，且有些高級API是只針對部分開發者可用，還有如對不同開發者有不同的API調用次數限制，等等。在這些非公開場景下，需要有一個API消費者。
- curl -i -X POST \
- --url http://kong:8001/consumers/ \
- --data "username=zhangkaitao"\
其會生成一個consumer_id “e5da92dd-fbe8-4031-bebf-34c741e209b1”，添加插件章節會用到該ID。
3. 添加插件
插件可以是全局的，也可以是局部的。如限流插件，我們可以配置為全局限流。目前支持：所有API和所有消費者、所有API和特定消費者、所有消費者和特定API、特定消費者和特定API。
為queryStockService添加50次/秒的限流。特定API和所有消費者配置。
- curl -X POSThttp://kong:8001/apis/queryStockService/plugins \
- --data "name=rate-limiting"\
- --data "config.second=50"
目前Kong的限流實現是基于計數器，默認是本地限流，可以配置為如使用Redis，實現集群限流。
為queryStockService添加密鑰身份認證。
- curl -i -X POST \
- --url http://kong:8001/apis/queryStockService/plugins/ \
- --data 'name=key-auth'
為消費者添加秘鑰。
- curl -i -X POST \
- --url http://kong:8001/consumers/zhangkaitao/key-auth/\
- --data 'key=myKey'
通過秘鑰訪問API。
- curl -i -X GET \
- --url http://api.jd.com/queryStock \
- --header "Host: api.jd.com"\
- --header "apikey: myKey"
特定API和特定消費者限流，需要配合身份認證模塊。
- curl -X POST http://kong:8001/apis/abc/plugins \
- --data "name=rate-limiting"\
- --data "consumer_id=e5da92dd-fbe8-4031-bebf-34c741e209b1"\
- --data "config.second=1"
到此添加API、添加API消費、添加API插件就介紹完了。
三、Kong默認插件
身份認證：Kong提供了Basic Authentication、Key authentication、OAuth2.0 authentication、HMAC authentication、JWT、LDAP authentication認證實現。
安全：ACL(訪問控制)、CORS(跨域資源共享)、動態SSL、IP限制、爬蟲檢測實現。
流量控制：請求限流(基于請求計數限流)、上游響應限流(根據upstream響應計數限流)、請求大小限制。限流支持本地、Redis和集群限流模式。
分析監控：Galileo(記錄請求和響應數據，實現API分析)、Datadog(記錄API Metric如請求次數、請求大小、響應狀態和延遲，可視化API Metric)、Runscope(記錄請求和響應數據，實現API性能測試和監控)。
轉換：請求轉換(在轉發到upstream之前修改請求)、響應轉換(在upstream響應返回給客戶端之前修改響應)。
日志：TCP、UDP、HTTP、File、Syslog、StatsD、Loggly等。
也可以開發自己的插件，如緩存等。
四、總結
Kong作為API網關提供了API管理功能，及圍繞API管理實現了一些默認的插件，另外還具備集群水平擴展能力，從而提升整體吞吐量。Kong本身是基于OpenResty，可以在現有Kong的基礎上進行一些擴展，從而實現更復雜的特性。
有一些特性Kong默認是缺失的，如API級別的超時、重試、fallback策略、緩存、API聚合、ABTest等，這些需要開發者自己定制和擴展。
如果你要做開放平臺，你要做HTTP API網關，Kong是您的一個選擇。
【本文是51CTO專欄作者張開濤的原創文章，作者微信公眾號：開濤的博客( kaitao-1234567)】
