kong插件应用（熔断限流，黑白名单，认证(basic,key,jwt,hmac,)，授权，加密，zipkin链路跟踪，日志,prometheus可视化,爬虫控制插件）

kong安装部署以及kong-dashboard参考：https://blog.csdn.net/luanpeng825485697/article/details/85287291

插件之于kong，就像Spring中的aop功能。

在请求到达kong之后，转发给后端应用之前，你可以应用kong自带的插件对请求进行处理，合法认证，限流控制，黑白名单校验，日志采集等等。同时，你也可以按照kong的教程文档，定制开发属于自己的插件。

kong的插件分为开源版和社区版，社区版还有更多的定制功能，但是社区版是要收费的。

目前，KONG开源版本一共开放28个插件，如下：

acl、aws-lambda、basic-auth、bot-detection、correlation-id、cors、datadog、file-log、galileo、hmac-auth、http-log、ip-restriction、jwt、key-auth、ldap-auth、loggly、oauth2、rate-limiting、request-size-limiting、request-termination、request-transformer、response-ratelimiting、response-transformer、runscope、statsd、syslog、tcp-log、udp-log

以上插件，主要分五大类，Authentication认证，Security安全，Traffic Control流量控制，Analytics & Monitoring分析&监控，Logging日志，其他还有请求报文处理类。

该插件用来定义指定请求或服务不进行上层服务,而直接返回指定的内容.用来为指定的请求或指定的服务进行熔断.

这样再访问指定的服务就会返回403错误,消息为So long and thanks for all the fish!

可以参考:https://docs.konghq.com/hub/kong-inc/request-termination/

安装rate-limiting插件

可以不用配置redis，不过要设置限制方法，我设置了每秒不超过2次。

当请求超过2次，会出现

{ "message": "API rate limit exceeded" }

说明：

根据年、月、日、时、分、秒设置限流规则，多个限制同时生效。

比如：每天不能超过10次调用，每分不能超过3次。

当一分钟内，访问超过3次，第四次就会报错。

当一天内，访问次数超过10次，第十一次就会报错。

IP限制插件，是一个非常简单的插件，可以设置黑名单IP，白名单IP这个很简单。

规则：

IP黑白名单，支持单个，多个，范围分段IP（满足CIDR notation规则）。多个IP之间用逗号,分隔。

CIDR notation规范如下：

10.10.10.0/24 表示10.10.10.*的都不能访问。

关于CIDR notation的规则，不在本文讨论范围内，请自行查阅https://zh.wikipedia.org/wiki/%E6%97%A0%E7%B1%BB%E5%88%AB%E5%9F%9F%E9%97%B4%E8%B7%AF%E7%94%B1

1.设置黑名单IP

在这里，我将我自己的IP设置成黑名单.

似乎我安装的kong-dashboard黑白名单写反了。

在Consumers 页面，添加Basic Auth

输入用户名和密码，我这里设置为luanpeng luanpeng。计算认证头。获取luanpeng:luanpeng字符串的base64编码。

可以直接在linux下输出

$ echo "luanpeng:luanpeng"|base64 bHVhbnBlbmc6bHVhbnBlbmcK

在插件页面，设置Basic Auth 绑定目标service，这样请求目标service就需要在http头中添加

Authorization Basic bHVhbnBlbmc6bHVhbnBlbmcK

设置Basic Auth表单域参数介绍:

该插件很简单，利用提前预设好的关键字名称，如下面设置的keynote = apices，然后为consumer设置一个key-auth 密钥，假如key-auth=test@keyauth。

在请求api的时候，将apikey=test@keyauth，作为一个参数附加到请求url后，或者放置到headers中。

在插件页面添加key-auth插件

配置consumer key-auth

key-auth两种方式可通过校验

curl http://xxx.xx.xx.xx:xxx/xxx -H 'apikey: luanpeng' http://xxx.xxx.xxx.xxx:xxx/xxx?apikey=luanpeng

如果选中key_in_body, 则必须在传递body的参数中加入{“apikey”:“xxxx”}来实现认证.

先启动HMAC插件，设置绑定的service和rout，以启动hmac验证。然后在Consumers页面中Hmac credentials of Consumer设置中添加一个username和secret。

准备生成http的header中的签名。请求是使用该签名。这里附上python的调用包

# kong_hmac.py import base64 import hashlib import hmac import re from wsgiref.handlers import format_date_time from datetime import datetime from time import mktime def create_date_header(): now = datetime.now() stamp = mktime(now.timetuple()) return format_date_time(stamp) def get_headers_string(signature_headers): headers = "" for key in signature_headers: if headers != "": headers += " " headers += key return headers def get_signature_string(signature_headers): sig_string = "" for key, value in signature_headers.items(): if sig_string != "": sig_string += "n" if key.lower() == "request-line": sig_string += value else: sig_string += key.lower() + ": " + value return sig_string def md5_hash_base64(string_to_hash): m = hashlib.md5() m.update(string_to_hash) return base64.b64encode(m.digest()) # sha1签名算法，字符串的签名，并进行base64编码 def sha1_hash_base64(string_to_hash, secret): h = hmac.new(secret, (string_to_hash).encode("utf-8"), hashlib.sha1) return base64.b64encode(h.digest()) def generate_request_headers(username, secret, url, data=None, content_type=None): # Set the authorization header template auth_header_template = ( 'hmac username="{}",algorithm="{}",headers="{}",signature="{}"' ) # Set the signature hash algorithm algorithm = "hmac-sha1" # Set the date header date_header = create_date_header() # 产生GMT格式时间 # print('GMT时间：',date_header) # Set headers for the signature hash signature_headers = {"date": date_header} # Determine request method if data is None or content_type is None: request_method = "GET" else: request_method = "POST" # MD5 digest of the content base64md5 = md5_hash_base64(data) # Set the content-length header content_length = str(len(data)) # Add headers for the signature hash signature_headers["content-type"] = content_type signature_headers["content-md5"] = base64md5 signature_headers["content-length"] = content_length # Strip the hostname from the URL target_url = re.sub(r"^https?://[^/]+/", "/", url) # print('请求路径：',target_url) # Build the request-line header request_line = request_method + " " + target_url + " HTTP/1.1" # print('request_line：',request_line) # Add to headers for the signature hash signature_headers["request-line"] = request_line # Get the list of headers headers = get_headers_string(signature_headers) # 转化为list # print('签名的属性名称：',headers) # Build the signature string signature_string = get_signature_string(signature_headers) # 获取要签名的字符串 # print('要签名的字符串：',signature_string) # Hash the signature string using the specified algorithm signature_hash = sha1_hash_base64(signature_string, secret) # 签名 # print('签名后字符串：',signature_hash) # Format the authorization header auth_header = auth_header_template.format( username, algorithm, headers, signature_hash.decode('utf-8') ) if request_method == "GET": request_headers = {"Authorization": auth_header, "Date": date_header} else: request_headers = { "Authorization": auth_header, "Date": date_header, "Content-Type": content_type, "Content-MD5": base64md5, "Content-Length": content_length, } return request_headers

调用该包，demo如下

图中HEADER 部分声明了验证方式为 JWT，加密算法为 HS256

PAYLOAD 部分原本有 5 个参数

{ "iss": "kirito", # Consumer的jwt中设置的key "iat": 1546853545, # 签发时间戳 "exp": 1546853585, # 过期时间戳 "nbf": 1546853585 # 生效日期 "aud": "cnkirito.moe", "sub": "250577914@qq.com", }

这里面的前五个字段都是由 JWT 的标准（RFC7519）所定义的。

• iss: 该 JWT 的签发者,（验证的时候判断是否是签发者）
• sub: 该 JWT 所面向的用户,（验证的时候判断是否是所有者）
• aud: 接收该 JWT 的一方,标识令牌的目标受众。（验证的时候判断我是否是其中一员）
• exp(expires): 什么时候过期，这里是一个 Unix 时间戳,精确到s, ,它必须大于jwt的签发时间
• iat(issued at): 在什么时候签发的,精确到s的时间戳, claims_to_verify配置参数不允许设置iat
• nbf:定义jwt的生效时间
• jti:jwt唯一身份标识,主要用来作为一次性token来使用,从而回避重放攻击

iss 这一参数在 Kong 的 Jwt 插件中对应的是curl http://127.0.0.1:8001/consumers/kirito/jwt 获取的用户信息中的 key 值。

而其他值都可以选填.

在页面上VERIFY SIGNATURE中填入自己的secret, 也就是在kong的dashboard中消费者创建jwt证书时的secret.

我们使用 jwt 官网(jwt.io)提供的 Debugger 功能快速生成我们的 Jwt, 由三个圆点分隔的长串便是用户身份的标识了.

打开kong的jwt插件

在key_claim_name中定义存储key的字段名称. 我们是使用的iss字段.
COOKIE_names表示如果使用COOKIE传递证书, 则COOKIE中的名称.
claims_to_verify表示验证证书中哪些字段, 我这里验证证书的发布时间和过期时间.

然后在header中携带证书信息就可以了.

Jwt 也可以作为 QueryString 参数携带在 get 请求中

curl http://localhost:8000/hello/hi?jwt=eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJ2Y252WVNGelRJR3lNeHpLU2duTlUwdXZ4aXhkWVdCOSJ9.3iL4sXgZyvRx2XtIe2X73yplfmSSu1WPGcvyhwq7TVE

如果在插件配置中设置了COOKIE_names为luanpeng-COOKIE

则在发送中

--COOKIE luanpeng-COOKIE=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJYSnFRMXpSQVhUWk52dlNHZ1Nsb1FyejczOFBqT0hFZyIsImV4cCI6MTUyNTc5MzQyNSwibmJmIjoxNTI1Nzc1NDI1LCJpYXQiOjE1MjU3NzU0MjV9.0Cv8rJkXTMNKAvPTOBV1w0UYVhRx3XRb6xJofxloRuA

不同配置下,可能返回证书未生效, 证书已过期, 或者返回正常结果

通常用户需要自己写一个服务去帮助 Consumer 生成自己的 Jwt，自然不能总是依赖于 Jwt 官方的 Debugger，当然也没必要重复造轮子（尽管这并不难），可以考虑使用开源实现，在jwt官网上Libraries for Token Signing/Verification部分 根据自己使用的语言,选择对应的包,来实现证书生成器. 最好可以直接集成到api网关中.

这里用python实现了一个简单的签名生成器