最初由Armand Sultantono在Snapt的博客上发表的客座文章
越来越多的组织正在转向 API 驱动的架构。这种强大的方法可帮助他们快速创新，与同类最佳的外部服务集成，并以前所未有的速度交付新服务。
但是，随着 API 对于业务运营变得越来越重要，提供可靠且一致的服务，同时保护 API 免遭滥用或利用至关重要。API 网关提供了一层安全性和控制，这对于保护数据和保持 API 的高可用性至关重要。在这篇博客文章中，我们将探讨其优势。
API 的状态
每个组织的 API 数量惊人，这是由于依赖 API 来支持应用程序、服务和网络之间不断增长的连接数量，以及对实时数据的需求。甚至早在2018年，Akamai就报告说"API调用占网络流量的83%"。
组织正在将其 IT 注意力和投资集中在 API 上，以实现互联应用程序的这种增长，并从数据中提取最大价值。
谷歌的《2021年API经济状况报告》称："展望未来，我们的研究表明，企业计划增加对API计划的投资。公司报告称，他们2021年的主要优先事项包括关注API安全和治理（50%），API采用的增长和管理（41%），投资建立开发人员社区（38%），通过API货币化来创造收入（31%），公开更多服务和数据（31%），以及增加对API运营和监控的投资（20%）。
每个行业都有无穷无尽的API用例，但API激增的一个很好的例子是金融和支付行业。例如，该行业采用开放银行业务是一种全球现象，由监管动议和不断变化的消费者行为推动。开放银行业务可以帮助银行和其他金融机构降低成本，并通过为客户提供对银行数据的实时访问，为他们提供更多选择。开放银行业务经常带来用户体验的改善，包括为消费者提供更多的选择和更低的价格，以及金融服务提供商根据借款人的风险水平快速批准贷款的丰富数据。开放银行的支柱是第三方服务和消费者应用程序之间接口的安全可靠的API。
API价值链
API价值链是“数字价值链”的同义词——一系列转换过程，就像无界工厂的数字装配线。api是连接不同系统的新方式，实现数字价值链，解锁创新和盈利。
API价值链，最简单的形式，可以描述为两个方面:API提供者和API消费者。
让我们看看下图中的角色，它描述了连接不同系统、解锁创新和盈利的api。
从左到右移动:
- 最终用户与用户体验进行交互。如今，这通常是一个网络浏览器或移动应用程序。
- 应用程序开发人员是API的消费者，他们将API产品转换为面向客户的应用程序。在本例中，这些是“合作伙伴”应用程序开发人员，他们使用由另一个组织提供的外部API，并通过将API提供者的数据转换为他们的产品和服务来创造价值。
- API产品是可用于消费的API。它们被很好地记录下来，并可能被消费货币化。
- API团队是API所有者、API开发人员和更广泛的工程团队，负责将原始的内部API从后端系统呈现为可呈现的API产品。他们负责设计和维护可靠、高性能和安全的api。
- 后端系统是由服务器上的数据组成的数字资产，随时可以挖掘价值。
API挑战
虽然API在共享数据和服务方面越来越流行，但它们也越来越复杂，管理对这些API的访问很快就会成为API提供商的噩梦。
保安及访问控制
api是通向企业最有价值的数字资产的通道。随着web上api数量的增加，2022年api将超过web应用成为头号攻击载体也就不足为奇了。为api提供全面的保护比以往任何时候都更为重要。
最关键的API安全风险围绕着暴露有价值数据的访问控制。api，就其本质而言，暴露有价值的数据，包括敏感信息，如个人身份信息(PII)。
应用程序逻辑也可能无意中暴露出来，并在您的组织中创建漏洞向量。未经授权或过度访问可能导致数据泄露给未经授权的方，并导致恶意行为者利用数据、操纵数据或完全接管帐户。
可靠性和性能
要满足消费者对实时数据的需求，需要高性能的应用程序支持可伸缩和高可靠的基础设施。这意味着要满足API价值链上下文中API消费者的服务水平协议(SLA)。
例如，要为高价客户提供最佳的服务层和api访问，可用性、吞吐量、响应时间或质量的服务水平目标(SLO)必须保持在最高级别。
可见性和治理
正如他们所说，“你不能看到的，你就不能得到。”API是新的可见性挑战，因为它们在服务和数据之间的相互连接是多么的普遍，而且毫不奇怪，大多数组织都不知道他们的整个API属性或“蔓延”。
导致这种扩张的其他因素包括云本地和微服务架构、推动新的API版本的持续软件开发，以及经典的竖井式开发挑战。
许多组织每周都会添加新的api，并淘汰旧的api，通常是由多个团队或来源提供，因此也不一定符合治理标准。因此，API是移动的目标，管理您的API属性需要全面的可见性和警惕性。
什么是API网关
在最基本的形式中，API网关接收API请求并返回一个答案，充当API消费者和一个或多个API服务之间的中间人或“中间件”。API网关处理跨API服务系统的常见任务，如用户身份验证、速率限制、实时指标等。
API网关的目的是提供面向消费者的facade，用于隐藏内部网络中的许多后端应用程序，这些应用程序通常是应用程序代码和平台的混合体:虚拟机上的遗留单块应用程序，或容器化的或无服务器的微服务。
本质上，API网关是管理API访问的主要控制点。
为什么我需要API网关
API网关对于克服安全性和访问、可靠性和性能、可见性和治理等API挑战至关重要。
如果没有API网关，您将需要构造复杂的路由规则并编写定制代码，以处理消费者和第三方系统可能访问您的API的各种方式。API网关使访问API变得简单，同时也确保了API的安全性、可靠性和一致性。
此外，平台无关的API网关将支持API访问，无论您的服务在哪里或以何种方式托管。
API网关将:
- 防御通用和特定的API漏洞。API Protection通常以Web应用程序和API Protection (WAAP)防火墙的形式出现，这是专门为保护Web应用程序和API而设计的高度专门的工具。
- 防止未经授权的访问，同时只允许被授权的用户访问他们需要的信息，必要时进行计量和合理使用强制使用。
- 确保服务质量(QoS)和服务水平协议(sla)。所有级别的消费者(例如，“青铜级”和“白金级”)必须通过保持最高程度的可靠性和性能来获得可接受的sla。API网关需要动态路由、服务运行状况检查、性能差或服务失败的断路，以及更多。
- 管理对多个API版本的访问。随着应用程序的扩展，新的API将出现，现有的API将被淘汰，然而，消费者仍然希望在一个地方找到所有的服务，了解如何使用API的新版本，并按照自己的节奏过渡到那个版本。
- 为外部消费者提供单一入口点，而不考虑内部微服务的数量或组成。基于微服务的体系结构可能包含数十或数百个异构服务。
- 通过实时分析和监控，提供关于用户如何使用api的洞察。
- 通过访问配额和计费管理API盈利策略。
- 促进服务网格体系结构中微服务之间的安全内部通信。
结论
由于api对业务的运行越来越重要，因此保护和访问它们非常重要。
如果API网关听起来像是你为了跟上不断变化的技术趋势而需要的东西，我们将提供帮助!
请联系我们，了解snapnova如何帮助您的组织更成功地快速创新，以比以往更快的速度提供新服务——所有这些都不会损害您最宝贵的资产的保护。