如何为新 API 自动启用 Kong 身份验证插件？

Question

我们在自定义服务部署系统中使用 Kong，并为 Kong 开发了一个新的身份验证插件以满足我们的特定需求。

所有这些都运行良好，我们对此进行了测试：

1. 注册新的 API（服务）
2. 发出 POST 请求以在新 API 上启用身份验证插件

虽然这有效，但它为黑客打开了一个机会之窗，让他们可以在 1. 和 2 之间执行未经身份验证的请求。这显然是不可接受的，但我找不到自动启用身份验证代理的方法自动强>。

Kong 有没有办法：

• 为所有新 API 自动启用一组给定的插件。
• 指定注册新 API 时要启用的插件列表。

Answer 1

目前无法在插入时自动将插件策略应用于 API。还有另一个问题也可以提供帮助（但目前尚未实施）：https://github.com/Mashape/kong/issues/1279

这将允许您：

1. 添加 API，但 enabled=false 并没有任何请求可以代理到它。
2. 添加插件
3. 使用 enabled=true 启用 API。

从今天开始，唯一的办法是：

1. 添加一个带有虚假 upstream_url 的 API，但无济于事。
2. 添加插件。
3. 使用 PATCH 请求更新 API，现在将其指向正确的 upstream_url。