doc: add API7 Authentication #24
Open
Conversation
This file contains bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
|
The latest updates on your projects. Learn more about Vercel for Git ↗︎
|
starsz
reviewed
Aug 25, 2023
|
|
||
| ## 一、认证方案架构说明 | ||
|
|
||
| API7 认证用于 API7 Portal 系统中，给 Developer 访问 Provider 提供的上游服务提供身份认证能力。 |
There was a problem hiding this comment.
Suggested change
| API7 认证用于 API7 Portal 系统中，给 Developer 访问 Provider 提供的上游服务提供身份认证能力。 | |
| API7 认证用于 API7 Portal 系统中，给 Developer 访问 Provider 提供的上游服务提供身份认证能力。 |
这一句话我不是很理解，是给 Developer 访问我们数据面提供的身份认证能力吧。
There was a problem hiding this comment.
用户关心的是developer到provider。我们要在这篇文档说清楚我们是拆成两节了，中间做了一层中转
| ## 三、API Key 的安全性保障 | ||
|
|
||
| ### API7 Portal 提供 API Key 的发放和回收机制 | ||
| 1. Developer 可以自己创建 API key，并且自己命名，方便后续使用时分辨，不过 API key 是由 API7 Portal 的后端服务按照一定的规则主动生成的，Developer 不可编辑； |
There was a problem hiding this comment.
Suggested change
| 1. Developer 可以自己创建 API key，并且自己命名，方便后续使用时分辨，不过 API key 是由 API7 Portal 的后端服务按照一定的规则主动生成的，Developer 不可编辑； | |
| 1. Developer 可以自己创建 API key，并且自己命名，方便后续使用时分辨，不过 API key 的内容是由 API7 Portal 的后端服务按照一定的规则主动生成的，Developer 不可编辑； |
| 1. 密钥使用 HTTP Header 传递，不出现在 URL 中，从而增加了 API key 的安全性； | ||
| 2. 提供了 API Key 的发放和回收机制，保障了密钥可以定期轮换，防止被盗用； | ||
| 3. 提供了针对 API key 使用情况的运行分析能力，方便 Developer 追踪 API key 的使用情况； | ||
| 4. 有多种 key 的认证机制可以选择，比如 key-auth、JWT 等，用户可以选择自己信任的机制进行认证； |
There was a problem hiding this comment.
@sijingzhangzsj0604 斯静确认一下。
There was a problem hiding this comment.
将来要支持多种的，暂时只有key-auth
| ### 认证流程和原理 | ||
|
|
||
| 1. Provider 在 API7 Portal 创建 API Source 时，可以选择 API7 Portal 与 API Endpoints 之间的认证方式，包括：No Auth、API Key、Basic Auth、JWT； | ||
| 2. API7 Portal 对这些认证机制的实现采用的是 Apache APISIX 的 [key-auth](https://apisix.apache.org/docs/apisix/plugins/key-auth/)、[basic-auth](https://apisix.apache.org/docs/apisix/plugins/basic-auth/)、[jwt-auth](https://apisix.apache.org/docs/apisix/plugins/jwt-auth/) 插件； |
There was a problem hiding this comment.
这些认证都是 client => APISIX 的，不是 APISIX -> Upstream 的。
| ### 优点 | ||
|
|
||
| 1. API7 与 API Endpoint 之间认证方式对 Developer 并没有暴露，因此大大降低攻击风险。 | ||
| 2. API7 Portal 与 API Endpoints 之间通过 API 密钥认证机制进行互信和访问控制，保证 API 调用的安全性，同时结合API Key 对安全性的保障，可以形成完善的安全体系。 |
There was a problem hiding this comment.
这里说的是 API Portal => API Endpoints 的吧。
sijingzhangzsj0604
requested changes
Aug 28, 2023
|
|
||
| ## 一、认证方案架构说明 | ||
|
|
||
| API7 认证用于 API7 Portal 系统中，给 Developer 访问 Provider 提供的上游服务提供身份认证能力。 |
There was a problem hiding this comment.
用户关心的是developer到provider。我们要在这篇文档说清楚我们是拆成两节了，中间做了一层中转
| 1. 密钥使用 HTTP Header 传递，不出现在 URL 中，从而增加了 API key 的安全性； | ||
| 2. 提供了 API Key 的发放和回收机制，保障了密钥可以定期轮换，防止被盗用； | ||
| 3. 提供了针对 API key 使用情况的运行分析能力，方便 Developer 追踪 API key 的使用情况； | ||
| 4. 有多种 key 的认证机制可以选择，比如 key-auth、JWT 等，用户可以选择自己信任的机制进行认证； |
There was a problem hiding this comment.
将来要支持多种的，暂时只有key-auth
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
Add this suggestion to a batch that can be applied as a single commit.
This suggestion is invalid because no changes were made to the code.
Suggestions cannot be applied while the pull request is closed.
Suggestions cannot be applied while viewing a subset of changes.
Only one suggestion per line can be applied in a batch.
Add this suggestion to a batch that can be applied as a single commit.
Applying suggestions on deleted lines is not supported.
You must change the existing code in this line in order to create a valid suggestion.
Outdated suggestions cannot be applied.
This suggestion has been applied or marked resolved.
Suggestions cannot be applied from pending reviews.
Suggestions cannot be applied on multi-line comments.
Suggestions cannot be applied while the pull request is queued to merge.
Suggestion cannot be applied right now. Please check back later.
No description provided.