检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
API访问控制策略配置的IP地址是否为客户端的IP地址？ 访问控制策略的IP地址不一定取客户端的IP地址。 APIG的访问控制是根据$remote_addr的值进行校验。$remote_addr代表客户端的IP，它的值是服务端根据客户端的IP指定的，当客户端访问APIG时，如果中
号名/账号ID访问API。 IP地址 仅当“类型”为“IP地址”时需要配置。 输入允许或者禁止访问API的IP地址，或IP地址范围。 说明： 允许或禁止访问的IP地址条数，分别可以配置最多100条。 账号名 仅当“类型”为“账号名”时需要配置。 输入允许或者禁止访问API的账号名，多个账号名之间使用英文逗号“
创建访问控制策略 操作场景 访问控制策略是API网关提供的API安全防护组件之一，主要用来控制访问API的IP地址和账户，您可以通过设置IP地址或账户的黑白名单来拒绝/允许某个IP地址或账户访问API。 访问控制策略和API本身是相互独立的，只有将访问控制策略绑定API后，访问控制策略才对绑定的API生效。
怎样给指定的用户开放API？ 可以采用以下两种方式： 创建API时可选取APP认证方式，AppKey和AppSecret分享给指定的用户。 使用访问控制策略，按照IP地址或者账号名，只允许符合允许策略的用户调用API。 父主题： API策略
开启跨域访问 什么是跨域访问 浏览器出于安全性考虑，会限制从页面脚本内发起的跨域访问（CORS）请求，此时页面只能访问同源的资源，而CORS允许浏览器向跨域服务器，发送XMLHttpRequest请求，从而实现跨域访问。 图1 跨域访问示意图 浏览器将CORS请求分为两类： 简单请求
配置API认证的凭据访问控制 凭据访问控制可控制访问API的凭据IP地址，保护后端服务。您可以为凭据设置访问控制策略，允许/禁止某个IP地址的凭据访问API。 配置凭据的访问控制策略 进入API网关控制台页面。 根据实际业务在左侧导航栏上方选择实例。 在左侧导航栏选择“API管理
(白名单类型) DENY (黑名单类型) app_acl_values 是 Array of strings ACL策略值，支持IP、IP范围和CIDR方式。IP范围以英文中划线分隔。 响应参数 状态码： 201 表4 响应Body参数 参数 参数类型 描述 app_id String
身份认证与访问控制 身份认证 服务认证：APIG提供AKSK、Token等多种方式进行服务认证，只允许授权的访问。 自定义认证：APIG支持用户以函数自定义API认证方式，丰富鉴权逻辑。 证书校验：APIG支持对后端服务进行证书校验。 身份认证：APIG提供签名密钥进行后端访问身份认证。
单个IP地址（客户端IP地址）调用API次数上限。您可以选择配置实例的“real_ip_from_xff”参数，使用X-Forwarded-For头中的IP作为流控的判断依据。 不超过“API流量限制”。 与“时长”配合使用，表示单位时间内的IP地址请求次数上限。 描述 关于控制策略的描述。长度为1~255个字符。
自定义APIG的客户端访问端口 API网关提供自定义实例入端口功能，支持客户端通过不同的端口来访问不同的后端服务。 约束与限制 新增端口时，一个端口仅允许配置一种协议。当前仅支持HTTP和HTTPS协议。 独立域名与端口相关约束与限制内容，请参考约束与限制。 自定义客户端访问端口 进入API网关控制台页面。
配置API的跨域资源共享 出于安全性考虑，浏览器会限制从页面脚本内发起的跨域请求，此时页面只能访问当前域的资源。CORS允许浏览器向跨域服务器发送XMLHttpRequest请求，从而实现跨域访问。更多跨域访问的说明请参见跨域调用APIG开放的API。 跨域资源共享策略为跨域访问
请求次数上限。 源IP流量限制 单个IP地址调用API次数上限。您可以选择配置实例的“real_ip_from_xff”参数使用X-Forwarded-For头中的IP作为流控的判断依据。 不超过“API流量限制”。 与“时长”配合使用，表示单位时间内的单个IP地址请求次数上限。
描述 填写策略的描述信息。长度为1~255个字符。 策略内容 策略的配置内容，支持表单配置和脚本配置两种方式。 镜像协议 镜像请求协议。指定的镜像服务协议须与用户的镜像业务协议保持一致。 镜像地址 镜像服务的地址。由IP/域名和端口号组成，总长度不超过255。格式为主机:端口（如：xxx
策略内容 策略的配置内容，支持表单配置和脚本配置两种方式。 响应缓存键 配置参数作为响应缓存键，用于区分不同的缓存。 system_params类型：配置不同的网关内置系统参数作为响应缓存键来区分缓存。配置参数请参考网关内置参数。 parameters类型：配置不同的请求query参数作为响应缓存键来区分缓存。
降级参数配置 降级参数配置开关。开启后可为断路器自定义规则，API请求优先匹配自定义规则中的触发条件和降级策略，仅当未匹配到自定义规则时才执行上方配置的默认触发条件和降级策略。 如果匹配到自定义规则，则执行规则内配置的触发条件和降级策略。如果匹配到的自定义规则内未配置触发条件或
对应索引的IP。 xff_index值为负数时，按倒序方式从X-Forwarded-For头中获取IP。 例如到达API网关的X-Forwarded-For头中依次有IP1，IP2，IP3三个IP地址，xff_index取0时获取IP1，xff_index取1时获取IP2，xff
填写策略的描述信息。长度为1~255个字符。 策略内容 策略的配置内容，支持表单配置和脚本配置两种方式。 负载通道 是否使用负载通道作为第三方接口的鉴权服务。 选择“使用”时，配置鉴权服务的负载通道。 选择“不使用”时，配置鉴权服务的访问地址。 后端URL 请求方法 支持GET、POST、PUT、HEAD请求方法。
已获取API调用信息，具体参见认证前准备。 已安装Nodejs安装包15.10.0或以上版本，如果未安装，请至Nodejs官方下载页面下载。 已安装IntelliJ IDEA 2018.3.5或以上版本，如果未安装，请至IntelliJ IDEA官方网站下载。 已在IntelliJ IDEA中安装NodeJS插件，如果未安装，请按照图1所示安装。
检查后端服务是否可以访问，如果不能访问，请修改后端服务。 检查后端服务对应的ECS安全组配置，查看是否已开放您需要的端口。 检查后端服务地址是否使用公网IP地址，如果使用，需要在APIG控制台的“实例管理 > 查看控制台 > 实例信息”界面开启出口地址。 检查VPC网络中的ACL配置，查看是
对象模型 API发布后，如果不想API被某些IP地址访问到，可以将这些IP地址加入黑名单，或者想API被某些特性的IP地址访问到，也可以将这些IP地址加入白名单。这样可以提高API的访问安全性，保护API免受攻击。本节介绍API的黑白名单（ACL策略）管理的对象模型，如表1 ACL策略对象模型所示。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
