GCP API Gateway：未认证请求是否计入计费及相关问题咨询

1. 密钥缺失/无效请求的计费判定 #

根据Google Cloud API Gateway的定价规则，密钥缺失或无效导致的4xx错误请求会被计入计费，这和你在控制台看到的“未认证请求出现在4xx错误及总请求计数中”的表现一致——总请求量是计费的核心依据之一，无论请求是否成功完成。

2. 恶意未认证请求的防护方案 #

针对恶意用户通过轰炸未认证请求抬高账单的问题，可以通过以下几种方式防护：

• 启用Cloud Armor防护：在API Gateway前端配置Cloud Armor规则，设置IP黑白名单、单IP请求速率限制（比如限制单IP每分钟最多发起50次请求），直接拦截恶意来源的请求。
• 配置API请求配额：在API Gateway的API配置中，针对整个API或具体API密钥设置速率配额和并发配额，超出配额的请求会被直接拒绝，避免请求量无限增长。
• 前置请求过滤：将API Gateway挂载到Cloud Load Balancer之后，利用负载均衡的请求检查功能，提前过滤掉没有携带有效API密钥的请求，不让这类请求到达API Gateway层面。
• 监控告警联动：通过Cloud Logging和Cloud Monitoring设置告警规则，当4xx错误请求量突增超过阈值时，及时触发邮件或短信告警，以便快速响应攻击。

3. 计费层级查询方法（若请求不计入计费时参考） #

如果后续确认此类请求不计入计费，可通过以下方式查看当前计费使用层级：

• Cloud Billing报告：进入Cloud Billing控制台的报告页面，筛选“API Gateway”服务，查看统计周期内的总请求数，对照定价的0-2M、2M-1B、1B+区间判断层级。
• Cloud Monitoring指标：创建自定义监控仪表盘，添加API Gateway的request_count指标，实时查看总请求量数据，对应到定价层级。
• API Gateway使用详情：在API Gateway控制台的“指标”页面，查看总请求数的累计统计，直接匹配定价区间。

内容的提问来源于stack exchange，提问作者OC_dev