云原生安全实战：API网关Envoy的鉴权与限流详解

 

🔥「炎码工坊」技术弹药已装填！
点击关注 → 解锁工业级干货【工具实测|项目避坑|源码燃烧指南】

 

一、基础概念

1. API网关

作为微服务架构的统一入口，负责路由转发、安全控制、流量管理等核心功能。 

2. Envoy

由Lyft开源的高性能云原生代理，支持动态配置、可扩展性，常用于服务网格（如Istio）或边缘网关场景。 

3. 鉴权（Authentication & Authorization）

• 认证：验证请求身份（如Token、API Key）。 
•  授权：确认身份是否有权限访问目标资源（如RBAC角色控制）。

4. 限流（Rate Limiting）

通过限制单位时间内的请求量，防止系统过载或恶意攻击（如DDoS）。 

---

二、技术实现

1. Envoy鉴权实现

Envoy通过External Authorization插件调用外部服务进行鉴权： 

http_filters:  
  - name: envoy.ext_authz  
    typed_config:  
      "@type": type.googleapis.com/envoy.extensions.filters.http.ext_authz.v3.ExtAuthz  
      grpc_service:  
        envoy_grpc:  
          cluster_name: extauth_service  # 外部鉴权服务地址  

流程： 

1.  客户端请求到达Envoy → 
2. Envoy将请求头、路径等信息发送给鉴权服务 → 
3. 鉴权服务返回