用 Tornado 做了一个 JSON API Gateway

[restran]

API 是连接 App 和服务器数据库的桥梁。在 App 和各种 API 多了之后，对这些 API 的管理和保护就带来了一系列的问题。比如：

1. 如何保护 API 不被非法访问，只能由 App 正常发起请求？
2. 如何控制不同 App 对多种多样 API 的访问权限？
3. API 的访问情况怎样，日志如何查看？

于是，就有了 API Gateway 这个项目

项目地址： https://github.com/restran/api-gateway

目前已经完成了 api-gateway 的服务端部分， Web 控制台还剩访问日志和访问统计查看。计划开发 Android 和 iOS 的 API Client 。

在设计上有什么问题，还请大家多提意见。

[rim99]

看上去蛮有意思，已关注。以后拿来学习

[Ge4Los]

挺有意思的项目，先关注了

[Comdex]

不明白具体用处？

[shajiquan]

已 star

[ewBuyVmLZMZE]

看了下，协议不是很规范，请参考项目 kong 。有点轮子的嫌疑。

[ewBuyVmLZMZE]

https://github.com/Mashape/kong

[latyas]

不错 stared

[restran]

@syhily 谢谢。为了管理我们很多 App 的 API ，我们内部有一个 api-gateway ，但是还比较粗糙，这是我重写的版本，在还没正式完成前，就来发帖，也是为了及早发现设计上的错误和不足。

[diyisoft]

期待这样的 api-gateway

[knktc]

已 star ，最近也想做类似的东西，参考一下。
之前是想尝试用 falcon 啥来开发，但是一直也没有开始工作~

[restran]

@Comdex 可以看看 kong 的文档 https://getkong.org/

[restran]

@diyisoft 我承认是造了个轮子，由于之前在用的 api-gateway 跟业务有比较多的耦合，而且比较粗糙，所以我才重写了一个。现在你可以先试试 kong https://getkong.org/

[restran]

@knktc 欢迎交流学习

[yishenggudou]

也有类似的思路 做了一半

[diyisoft]

@restran 没有说你造轮子，期待你的 api-gateway ，已经 star

[viamcc]

验证 Referer 和绑定对方 IP 来保证不被非法访问

[zeuss]

不错，已 star ，持续关注。

[restran]

@viamcc 因为 Referrer 可以被构造，只能做简单的防盗链，如果是 App 上的 API ，面向的用户 IP 不可预期，绑定 IP 就不太合适。所以我采用了 HMAC 签名来鉴权。

[viamcc]

@restran 我理解的是 B2B 方式，所以绑定对方服务器的出口 IP 即可，无关乎用户

[restran]

@viamcc 这种情况下可行