.NET Core微服务：JWT认证应部署在Kong还是YARP？最佳实践咨询

根据你的架构设计和职责划分，优先将JWT认证部署在Kong（Edge Gateway）侧，同时可在YARP侧做轻量校验兜底，理由如下：

• 边缘拦截，降低后端负载
  Kong作为面向公网的入口网关，本身承担限流、DDoS防护等边缘安全职责。将JWT认证放在这里，能直接拦截未通过认证的无效请求，避免这类流量进入内部的YARP和微服务层，从源头减少后端资源消耗，符合防御纵深的安全原则。

• 统一认证逻辑，简化维护
  把JWT认证逻辑集中在Kong，无需在YARP或各个微服务中重复实现认证规则。后续如果需要调整JWT配置（比如密钥轮换、过期时间修改、Claims校验规则更新），只需要在Kong一处修改即可，大幅降低维护成本和不一致性风险。

• 聚焦网关核心职责
  YARP的定位是BFF网关，核心任务是API聚合、响应格式调整等业务适配工作。让YARP专注于自身核心职责，避免叠加安全认证逻辑导致复杂度上升，架构分工更清晰。

补充建议 #

为了避免因Kong配置疏漏或异常场景导致未认证流量渗透，可在YARP侧添加轻量的JWT有效性校验（比如验证签名合法性、令牌是否过期），作为第二层防护，但无需重复实现完整的认证逻辑。

内容的提问来源于stack exchange，提问作者sushmitgos