kong - 一起使用 Kong 的 key-auth 和 session 插件

Question

我是 Kong 的新手并且有一个启用了 key-auth 插件的设置。因此，当我转到 https://localhost:32443 时，我得到了 {"message":"No API key found in request"}。如果我指定一个 apikey，我会得到应用程序的主页，但它是空白的。第一个请求成功并返回 200 响应 - https://localhost:32443/?apikey=EMCmOc4oE3KjE3CtCoqqDZ9cBM8mEJWjDcOuPJLXPZCmOJbb - 因为它包含“apikey”。该页面为下载缩小的 JS 和 CSS 而发出的所有后续请求都以 401 失败，因为它们不包含“apikey”。我已尝试将应用程序配置为使用“ session ”插件，但不确定这样做是否正确，或者我只是没有正确配置它。

Request URL: https://localhost:32443/favicon.ico
Request Method: GET
Status Code: 401 
Remote Address: 127.0.0.1:32443
Referrer Policy: no-referrer-when-downgrade
content-length: 41
content-type: application/json; charset=utf-8
date: Sun, 06 Sep 2020 07:32:32 GMT
server: kong/2.0.4
status: 401
www-authenticate: Key realm="kong"
x-kong-response-latency: 1
:authority: localhost:32443
:method: GET
:path: /favicon.ico
:scheme: https
accept: image/avif,image/webp,image/apng,image/*,*/*;q=0.8
accept-encoding: gzip, deflate, br
accept-language: en-US,en;q=0.9
cookie: session_2=dhhdjdjdjjd...
referer: https://localhost:32443/?apikey=EMCmOc4oE3KjE3CtCoqqDZ9cBM8mEJWjDcOuPJLXPZCmOJbb
sec-fetch-dest: image
sec-fetch-mode: no-cors
sec-fetch-site: same-origin
user-agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) 
Chrome/85.0.4183.83 Safari/537.36

如果我手动将“apikey”添加到新选项卡中的网站图标请求，则它可以正常加载。我不确定是否有我遗漏的配置会自动为所有请求执行此操作？

非常感谢

Answer 1

也许现在有点晚了，但我试着回答这个问题

一般来说，使用带有 API key 的主页 UI 并不是一个好主意。

将查询传递给后续调用
据我所知，将您的 API key 附加到您的 html 将开始的所有后续请求是不可能的。我记得service-workers有能力intercept and modify requests .他们可以将您的查询附加到所有请求。缺点是它们只能在 https 上工作，旧浏览器不支持它们

UI 的 API key
如果你问我，你应该为 api 调用而不是 UI 使用 API key 。

备选方案
在我看来basic-auth将是更好/最近的选择，因为您的浏览器将保护这些设置并将这些凭据( header )包含到所有后续请求中，以便您的 UI 可以加载其他内容。如果您决定更改您的基本身份验证凭据，您可以轻松地更改/删除它们并且权限将消失。

但是如果我仍然想为 UI 使用 API key 怎么办？
如果您想使用您的 api key 作为登录名，您可以使用 session 。此 session 将创建一个 cookie 发送到您的浏览器。
但是
从现在开始，所有其他后续请求都不需要 api key 。即使您删除了 api key ， session (cookie)仍然存在，直到它过期为止，您不会实现自定义逻辑来处理这些情况(绑定(bind) key 和 session 内部)