authentication - 如何为新 API 自动启用 Kong 身份验证插件？

Question

我们在自定义服务部署系统中使用 Kong，并为 Kong 开发了一个新的身份验证插件来满足我们的特定需求。

所有这些都运行良好，我们对此进行了测试:

1. 注册新的 API(服务)
2. 发出 POST 请求以在新 API 上启用身份验证插件

虽然这有效，但它为黑客在 1. 和 2 之间执行未经身份验证的请求打开了机会之窗。这显然是 Not Acceptable ，但我找不到自动启用身份验证代理的方法.

Kong 有没有办法:

• 为所有新 API 自动启用一组给定插件。
• 指定注册新 API 时要启用的插件列表。

Answer 1

目前无法在插入时自动将插件策略应用到 API。还有另一个问题也可以提供帮助(但目前尚未实现):https://github.com/Mashape/kong/issues/1279

这将使您能够:

1. 添加 API，但 enabled=false 并且无法代理任何请求。
2. 添加插件
3. 使用 enabled=true 启用 API。

截至今天，唯一的方法是:

1. 添加一个带有虚假 upstream_url 的 API，该 API 毫无用处。
2. 添加插件。
3. 使用 PATCH 请求更新 API，现在将其指向正确的 upstream_url。