定义
API Gateway（API 网关）是面向外部调用的统一入口，负责请求鉴权、限流、路由、协议转换与日志记录。在 ICMP 中，API Gateway 承接客户系统对 RESTful API 的调用，与 Webhook 回调、OAuth2 认证配合，保障接口安全、可控、可观测。
核心功能
API Gateway 的核心能力包括：鉴权与授权——验证 API Key、JWT、OAuth2 Token，校验调用方身份与权限；限流与熔断——按 QPS、并发、配额限制请求，防止滥用与过载；路由与版本——将请求路由至对应微服务，支持版本切换与灰度；协议转换——统一 REST 入口，内部可对接 gRPC、消息队列等；日志与监控——记录请求日志、耗时、错误率，支撑 Audit Trail 与运维分析。
在 ICMP 中的实践
达希物联 ICMP 的 API Gateway 对外暴露 RESTful API，支持 SIM 管理、用量查询、激活/暂停、账单获取等能力。客户通过 API Key 或 OAuth2 获取访问令牌，Gateway 校验后转发至 BSS/OSS 后端。平台支持按客户、按接口配置限流策略，保障多租户隔离与系统稳定。结合 Swagger 文档与 SDK，降低客户集成门槛。
安全与合规
API Gateway 是安全防护的第一道防线。除鉴权外，需支持 HTTPS、TLS 加密、防重放、防注入等。跨境场景下，需满足 Data Residency 与 GDPR 要求，敏感操作需记录至 Audit Trail。平台可配置 IP 白名单、地域限制，进一步收紧访问策略。
网关在转发前改写了哪些请求要素
接口网关站在客户系统和连接平台后端之间，外部看到的是一组稳定地址，内部可以是多组服务。它在转发前核对调用方是谁、这次调用算进哪一个配额、请求该送到哪个版本的后端，并在需要时改写路径、头部和协议。客户拿接口密钥或令牌访问，网关验证签名、有效期和权限范围后再放行。因此后端收到的调用者身份，应当是网关确认过的租户和操作者，而不是客户端自己填写的用户名字段。
网关还承担观测。每一笔请求留下时间、路径、结果码和耗时，敏感操作再进入审计。它不负责决定某张卡该不该激活，那是后端业务规则；它负责拒绝没有身份、超出配额或打到错误版本的请求。把业务判断塞进网关，会导致同一规则在控制台和接口两条入口不一致。协议转换只应改变承载方式，例如外部使用统一的资源风格、内部使用另一套调用，不能在转换时悄悄改掉卡标识或客户标识。
令牌、配额和路由可以同时生效的前提
三道控制要同时成立，调用才会到达业务服务。令牌必须未过期、受众正确、权限范围覆盖当前操作；配额按客户、按接口或按时间窗口计算，超限返回的是限流而不是未认证；路由按路径和版本把请求送到对应后端，灰度期间同一客户应稳定落到同一版本。任一条件失败，都不应继续累计成功业务。时钟偏差过大会让刚刚签发的令牌被当成过期，这和权限不足不是同一类错误。
写操作还要具备幂等条件。激活、暂停、出账查询若因超时被客户端重试，网关应能根据幂等键识别重复提交，避免后端执行两次。只对查询做缓存时，缓存键必须包含租户，不能把一个客户的卡列表回复给另一个客户。跨境调用若经过传输层加密卸载，证书校验仍应在网关完成，不能把明文接口暴露在卸载点之后还对外提供服务。高风险写操作的日志需要能关联到审计追溯，只在网关留下访问流水不够还原改了哪一张卡。
鉴权通过以后仍然被拒绝时先查什么
令牌有效却收到拒绝，先看是限流、权限范围不足，还是路由到了已下线的版本。把这三类都显示成同一种失败，客户会反复更换密钥，问题却在配额或路径。源地址白名单配在网关前面时，客户出口地址变化会表现为间歇失败，令牌本身没有问题。还有一种差错是把重试风暴放进来：后端变慢时客户端立即并发重试，网关配额被重试打满，真正的新请求也被拒绝。
缓存和转换同样会制造假成功。把带身份的查询结果按路径缓存、忽略令牌中的租户，后一个调用方会读到前一个客户的数据。协议转换时丢掉幂等键或关联号，后端无法去重，暂停接口被调用两次仍可能只执行一次或执行两次，结果不可预期。版本切换当天若文档、网关路由和后端字段不一致，旧客户端会把新字段当成错误。排查顺序应固定为身份、配额、路由、后端结果码，而不是先改业务数据。生产限流阈值要按客户单独设置，不能用测试环境的宽松配额直接上线。
发布新版本时，网关路由、后端字段和给客户的说明要同一天生效。只改路由、不改说明，旧调用会把新增的必填项当成故障。只改说明、不改路由，客户按新文档发送，请求仍进旧服务并被丢弃字段。灰度期间用租户而不是随机比例来固定版本，否则同一客户的连续请求一会成功、一会缺少字段。回滚时连同限流计数一起看，避免新版本的失败重试把配额耗尽后，旧版本的正常调用也被拒绝。