为AppService实现额外健康检查的最佳实践咨询

核心原则：绝不无认证暴露健康检查端点 #

无认证开放任何端点都会引入不必要的安全风险，比如被恶意扫描、利用端点探测系统架构，甚至发起拒绝服务攻击，哪怕是健康检查这类“非业务”端点也不例外。

适配APIM场景的低成本解决方案 #

1. 在APIM中配置端点专属的轻量认证策略

利用APIM的策略特性，给/health-third-party单独设置访问控制，无需修改后端API代码：

• IP白名单策略：只允许你的监控系统（比如Azure Monitor、Prometheus等）的IP/IP段访问该端点，完全阻断外部无关请求。
• API密钥认证：给监控工具分配专用API密钥，在APIM中添加“验证API密钥”策略，仅对/health-third-party生效，比全局的OAuth2令牌认证更轻量，监控端实现成本极低。

2. 复用现有认证体系，缩小权限范围

如果你的监控系统支持OAuth2流程，可以创建一个最小权限的服务主体，仅授予访问/health-third-party的权限，让监控工具通过这个服务主体获取短生命周期的令牌。这种方式既符合现有安全架构，又不会过度授权。

3. 无需额外部署Azure Functions

完全没必要为了健康检查单独启动Functions实例——直接在现有API中集成/health-third-party端点，通过APIM的策略控制访问即可，几乎没有额外成本，架构也更简洁。

健康检查端点的实现细节建议 #

• 端点逻辑仅做外部API的基础连通性验证（比如发送一个简单的GET请求，检查返回状态码），不要包含业务逻辑或敏感数据。
• 在APIM中给该端点添加缓存策略（比如缓存结果10-30秒），避免频繁请求给外部API和自身系统带来不必要的压力。

内容的提问来源于stack exchange，提问作者Bennimi