Kong 3.4中带认证与无认证端点的路由配置最优方案咨询

当前方案的合理性 #

• 复用服务配置：所有端点指向同一上游后端，单服务可统一管理上游地址、超时、重试等通用配置，避免多服务重复配置，降低维护成本。
• 路由匹配逻辑可行：Kong路由遵循精确匹配优先于前缀匹配的规则，你配置的无认证具体路径（如/tool/v1/vehicle）会优先匹配，不会被带认证的前缀路由（/tool/v1）拦截，能准确区分认证与非认证请求。
• 路径剥离符合需求：带认证的路由开启strip path后，请求会被剥离为/[端点]，完全匹配上游要求；无认证路由同样开启strip path即可正确转发到上游对应端点。

最佳实践优化建议 #

• 批量配置无认证路由：若无认证端点较多，无需逐个创建路由，可在单个无认证路由的paths数组中添加所有无认证路径（/tool/v1/vehicle、/tool/v1/test1、/tool/v1/test2），减少路由数量，提升维护效率。
• 显式设置路由优先级：虽然精确匹配优先级更高，但可给无认证路由设置更高的priority值（默认0，数值越大优先级越高），彻底避免非认证请求被前缀路由误匹配的潜在风险。
• 精准控制插件作用域：key-auth插件绑定在带认证的路由而非服务上，这个配置是正确的，确保仅需认证的路径触发认证逻辑。后续若需添加限流、日志等插件，可根据需求绑定到服务（作用于所有端点）或对应路由（仅作用于认证/非认证端点）。
• 对比多服务方案：之前的多服务方案虽隔离性强，但会带来配置冗余（如重复配置上游地址），除非后续认证与非认证端点的上游后端需要拆分，否则单服务方案更高效。

总结 #

当前单服务双路由方案完全合理，契合Kong的路由匹配机制，能满足业务需求。结合上述优化建议，可让配置更简洁、健壮。

内容的提问来源于stack exchange，提问作者malfoy