如何通过API网关为单个REST请求处理多次后端API调用

问题1：该流程是否可通过API网关实现，具体实现方式 #

完全可以实现，该场景本身就是API网关的典型使用场景。具体实现逻辑如下：

• 第一步：在网关层配置路由规则，拦截所有发往Rest backend service的请求，不直接放行到后端服务
• 第二步：开发网关自定义拦截逻辑，提取请求头/参数中的会话凭证（如Session ID），调用Session manager service的接口查询完整全局会话，会话查询失败直接返回401未认证响应给客户端
• 第三步：将当前请求的目标URL、请求方法、获取到的会话信息组装为请求参数，调用Authorization service的鉴权接口，鉴权不通过直接返回403无权限响应给客户端
• 第四步：鉴权通过后，网关将原始请求转发到对应的Rest backend service，也可将解析好的用户身份信息注入请求头同步给后端服务，减少后端重复校验逻辑
• 第五步：网关接收后端服务的响应后，返回给发起请求的客户端即可

问题2：适配该场景的网关选型 #

不同场景可选择不同产品，优先级推荐如下：

• 如果你团队对Nginx技术栈熟悉，业务规模中等，自定义需求不多：优先选OpenResty（Nginx + Lua扩展），性能损耗极低，可通过Lua脚本灵活实现自定义的会话查询、鉴权逻辑，运维成本低
• 如果你的业务属于微服务架构，需要网关自带服务发现、流量管控、可视化配置、插件生态：优先选Kong，Kong本身基于OpenResty开发，内置大量开箱即用的插件，无需从零开发所有逻辑，配置门槛更低，适合快速落地
• 如果你是云原生K8s部署场景：可选择APISIX或Ingress Nginx，可以直接和K8s生态打通，适配容器化部署的服务治理需求

问题3：对应场景的实现示例 #

OpenResty 核心逻辑示例 #

在OpenResty配置的access_by_lua_block阶段编写拦截逻辑即可，核心参考代码：

access_by_lua_block {
    -- 提取请求头中的会话凭证
    local session_id = ngx.var.http_x_session_id
    if not session_id then
        ngx.exit(ngx.HTTP_UNAUTHORIZED)
    end

    -- 调用会话管理服务查询全局会话
    local http = require "resty.http"
    local http_cli = http.new()
    local session_res, err = http_cli:request_uri("http://session-manager-svc/query", {
        method = "POST",
        body = ngx.encode_args({session_id = session_id}),
        headers = {["Content-Type"] = "application/x-www-form-urlencoded"}
    })
    if not session_res or session_res.status ~= 200 then
        ngx.exit(ngx.HTTP_UNAUTHORIZED)
    end
    local session_info = session_res.body

    -- 调用鉴权服务做权限校验
    local auth_res, auth_err = http_cli:request_uri("http://authorization-svc/check", {
        method = "POST",
        body = ngx.encode_args({
            req_url = ngx.var.request_uri,
            req_method = ngx.var.request_method,
            session = session_info
        }),
        headers = {["Content-Type"] = "application/x-www-form-urlencoded"}
    })
    if not auth_res or auth_res.status ~= 200 then
        ngx.exit(ngx.HTTP_FORBIDDEN)
    end

    -- 校验通过，请求继续转发到后端服务
}

Kong 实现示例 #

无需从零编写全量逻辑，直接组合Kong官方插件即可快速落地：

1. 给绑定了Rest backend service的路由配置external-auth插件，将鉴权服务地址配置为你的Authorization service地址
2. 搭配request-transformer插件，配置规则：请求发往鉴权服务前，先提取会话凭证调用Session manager service获取会话，将会话信息、当前请求信息组装到鉴权请求的请求体中即可完成全流程配置

内容的提问来源于stack exchange，提问作者Rohit