基于Kong 0.12.1实现API强制认证的技术咨询

作为用过Kong 0.12.x版本的老用户，我很清楚这个版本的配置逻辑，给你梳理几个关键步骤来实现强制认证的安全机制：

1. 网络层面锁死后端，仅允许Kong流量访问 #

这是最核心的防护环节，从根源上避免外部请求绕过Kong直接打你的后端API：

• 先确认Kong实例的内网/公网IP（比如192.168.0.10）
• 在后端服务的防火墙、安全组或者Nginx配置里，只开放这个IP的访问权限
• 这样任何不经过Kong的请求都会被直接拦截，彻底杜绝绕路的可能

2. 批量给所有API启用Basic-Auth插件 #

你已经搞定了单个API的认证，现在要让所有API都强制认证，可以选两种方式：

方式一：给每个Service绑定Basic-Auth #

如果你的API都关联到了Kong的Service上，逐个给Service添加插件：

# 替换<service-name>为你的服务名称，重复执行给所有Service配置
curl -X POST http://localhost:8001/services/<service-name>/plugins \
  --data "name=basic-auth" \
  --data "config.hide_credentials=true"

如果Service数量多，写个简单的shell脚本批量处理就行——先通过Admin API拉取所有Service列表，再循环执行上面的命令。

方式二：全局启用Basic-Auth（新增API自动继承） #

想让所有新增的API默认强制认证？直接全局启用插件：

curl -X POST http://localhost:8001/plugins \
  --data "name=basic-auth" \
  --data "config.hide_credentials=true"

如果有个别API不需要认证，在对应的Route/Service上单独配置config.enabled=false就能覆盖全局规则。

3. 检查路由配置，确保没有遗漏的API路径 #

别让某些API成为漏网之鱼：

• 用Admin API列出所有路由，确认覆盖了所有后端API路径：

curl http://localhost:8001/routes

• 对于动态路径，用通配符规则（比如paths[]=/api/*）来覆盖所有子路径
• 确保每个Route都关联到了启用Basic-Auth的Service

4. 验证配置是否生效 #

测试一下未认证的请求会不会被拦截：

curl -i -X GET https://localhost:8443/ -H 'Host: example.com'

正常应该返回401 Unauthorized，响应头里还会有WWW-Authenticate: Basic realm="kong"——这就说明强制认证已经生效了。

针对0.12.1版本的额外提醒 #

• 这个版本比较老，记得定期备份Kong配置：curl http://localhost:8001/ > kong-config-backup.json
• 如果需要更细粒度的权限控制，可以搭配Kong的ACL插件，和Basic-Auth一起用，限制特定用户访问特定API

内容的提问来源于stack exchange，提问作者Aravindh