能否通过API Gateway结合Cloud Run/Cloud Function对接Cloud SQL实现用户认证

完全可以实现你需要的终端用户身份认证逻辑，这也是GCP生态中API网关自定义身份校验的典型落地场景，核心实现逻辑如下：

核心实现流程 #

• 终端用户发起请求时携带身份凭证（比如自定义Token、账号密码组合等）到API Gateway
• 你可以在API Gateway配置自定义身份验证器，绑定提前部署好的、对接Cloud SQL的Cloud Function/Cloud Run服务作为校验后端
• 网关收到请求后会先把请求头/请求体里的身份信息转发给你配置的校验服务，校验服务去Cloud SQL拉取用户数据做身份有效性、权限匹配校验
• 校验服务返回合法的身份信息/自定义头给API网关后，网关才会把请求转发到你后端的Cloud Run微服务，校验失败则直接返回错误响应给终端，不会打到后端服务

注意事项 #

• 你需要给API Gateway授予调用你的身份校验Cloud Function/Cloud Run的IAM权限，避免权限拦截导致校验失败
• 身份校验服务可以直接用GCP内置的Cloud SQL Auth Proxy连接数据库，不需要把Cloud SQL暴露到公网，安全性有保障
• 校验通过后你可以把用户ID、用户权限等自定义字段通过请求头传递给后端微服务，后端不需要重复做身份查询，减少冗余请求

如果你需要更细粒度的权限控制，还可以在校验逻辑中加入接口路径、请求方法的匹配判断，直接在网关层就实现接口级别的权限拦截。

内容的提问来源于stack exchange，提问作者Yusnier Acosta Fernandez