如何用Prometheus监控需JWT认证的API？获取正确状态码与响应时间

下面是几种能实现需求的具体方案，可根据你的环境和复杂度选择：

1. 用Blackbox Exporter携带JWT令牌 #

Blackbox Exporter是Prometheus生态中常用的HTTP/HTTPS监控工具，只需修改它的配置文件，让请求自动带上JWT认证头，就能获取API的真实状态码和响应时间。

修改Blackbox的blackbox.yml配置，添加一个带JWT的HTTP监控模块：

modules:
  http_jwt_monitor:
    prober: http
    timeout: 5s
    http:
      method: GET
      headers:
        Authorization: "Bearer YOUR_VALID_JWT_TOKEN"
      # 可指定需要关注的状态码，避免误报认证错误
      valid_status_codes: [200, 400, 500, 503]

然后在Prometheus的prometheus.yml中添加对应的抓取配置：

scrape_configs:
  - job_name: 'blackbox_jwt_api'
    metrics_path: /probe
    params:
      module: [http_jwt_monitor]
    static_configs:
      - targets:
          - https://your-jwt-protected-api.com/health
    relabel_configs:
      - source_labels: [__address__]
        target_label: __param_target
      - source_labels: [__param_target]
        target_label: instance
      - target_label: __address__
        replacement: your-blackbox-exporter-ip:9115

这样Blackbox会带着合法JWT请求API，Prometheus抓取到的metrics就是真实的状态码和响应时间，不会出现401这类认证错误。

2. 自定义Exporter实现灵活监控 #

如果Blackbox的配置无法满足你的特殊需求（比如需要自动刷新过期的JWT），可以自己编写简单的Exporter，逻辑更可控。

比如用Python实现一个基础的Exporter（依赖prometheus_client和requests库）：

from prometheus_client import start_http_server, Gauge
import requests
import time
from datetime import datetime, timedelta

# 定义Prometheus指标
API_STATUS = Gauge('api_http_status_code', 'HTTP status code of the JWT-protected API', ['endpoint'])
API_RESPONSE_TIME = Gauge('api_response_duration_seconds', 'Response time of the API', ['endpoint'])

# 模拟JWT刷新逻辑（根据实际认证接口调整）
def get_new_jwt():
    # 这里替换成获取新JWT的逻辑，比如调用认证接口
    auth_response = requests.post("https://your-auth-server.com/token", data={"username": "user", "password": "pass"})
    return auth_response.json()["access_token"], datetime.now() + timedelta(minutes=15)

current_jwt, expiry_time = get_new_jwt()

def monitor_api():
    global current_jwt, expiry_time
    api_endpoint = "https://your-jwt-protected-api.com/health"
    
    while True:
        # 检查JWT是否过期，过期则刷新
        if datetime.now() >= expiry_time:
            current_jwt, expiry_time = get_new_jwt()
        
        start_time = time.time()
        try:
            headers = {"Authorization": f"Bearer {current_jwt}"}
            response = requests.get(api_endpoint, headers=headers, timeout=5)
            API_STATUS.labels(endpoint="protected_api").set(response.status_code)
            API_RESPONSE_TIME.labels(endpoint="protected_api").set(time.time() - start_time)
        except requests.exceptions.RequestException:
            # 请求失败时标记为503
            API_STATUS.labels(endpoint="protected_api").set(503)
        time.sleep(60)

if __name__ == '__main__':
    # 启动Exporter的metrics端口
    start_http_server(8080)
    monitor_api()

运行这个脚本后，Prometheus只需抓取http://your-exporter-ip:8080/metrics，就能拿到带真实状态码的监控数据。

3. 通过反向代理/网关注入JWT #

如果你的API部署在反向代理（如Nginx）或API网关之后，可以在代理层配置规则，为Prometheus的监控请求自动添加JWT令牌。

以Nginx为例，在配置中判断请求来源是Prometheus服务器，就注入Authorization头：

server {
    listen 443 ssl;
    server_name your-api-domain.com;

    location /health {
        # 仅允许Prometheus服务器的请求注入JWT
        if ($remote_addr = "192.168.1.100") { # 替换为你的Prometheus服务器IP
            proxy_set_header Authorization "Bearer YOUR_VALID_JWT_TOKEN";
        }
        proxy_pass https://your-api-backend:8080;
        proxy_set_header Host $host;
    }
}

之后Prometheus直接请求Nginx代理的https://your-api-domain.com/health，Nginx会自动为请求加上JWT，返回的就是API的真实状态。

内容的提问来源于stack exchange，提问作者Vedant K