API是什么?API服务是什么_API是什么?

API就是操作系统留给应用程序的一个调用接口，应用程序通过调用操作系统的API而使操作系统去执行应用程序的命令（动作）。

API除了有"应用程序接口"的意思外，还特指API的说明文档，也称为帮助文档。另外，也是美国石油协会、空气污染指数、医药、空中位置指示器的英文简称。

作用是提供应用程序与开发人员基于某软件或硬件得以访问一组例程的能力，而又无需访问源码，或理解内部工作机制的细节。

平台优势

1、技术优势具有高效率、团结、富有创意的团队，技术实力雄厚，可针对不同层次客户的需求;

2、服务优势领先的技术、严密的流程、品牌的保证，为在线交易给予有力的安全保障;庞大的客服体系，为您提供7×24小时不间断的客户服务;

3、卡类兑换优势解决客户往返银行汇款的麻烦，提升客户效率，有效增加订单数量。百汇通具有几十种的卡类兑换方式，与上游运营商合作密切，有大部分运营商充值接口，卡类产品的多样化能够满足所有客户的对于卡类兑换的需求。

4、结算优势客户价格透明、公道。客户可以随时查看商品销售及帐户资金情况。

5、合作方式多样化优势API接口系统，与供货商开展更多合作。为渠道、异业以及同行提供的大接口系统，确保百汇通的合作优势。强大而全面的点卡体系，可以为收费类网站提供解决方案。

如果您的API连接失败，以下是一些可能的解决方法：

检查API的URL是否正确：确保您正在使用正确的API URL。请参阅API文档以获取正确的URL，并确保您的代码中使用的URL与API文档中提供的URL相匹配。

检查API密钥：如果API需要使用密钥进行身份验证，请确保您使用的密钥是有效的。检查您是否正确设置了API密钥，并且是否将其正确传递到API请求中。

检查网络连接：确保您的计算机连接到互联网，并且您的网络连接没有任何问题。您可以尝试通过浏览器访问API URL以确保您的网络连接正常工作。

检查API服务器状态：有时，API服务器可能会遇到问题，因此请检查API提供商的网站以查看是否有任何已知问题或服务器停机时间。

检查请求参数：检查您的API请求是否正确。确保您已经提供了正确的请求参数，并且请求的格式与API文档中描述的格式相匹配。

联系API提供商支持：如果您尝试了上述解决方法但仍然无法解决API连接问题，请联系API提供商的支持团队以获取帮助。他们可以提供更具体的解决方案或帮助您诊断问题。

　　转载

　　构建web可访问应用编程接口很简单，但使之良好工作，而且不间断却不简单，Les Hazlewood在2013年JavaOne大会上如此说，他是Stormpath的首席技术官。Hazlewood在大会上展示了通过JAX-RS和Jersey构建美好的REST+JSON API的最佳实践。

　　“表面看来，良好的REST API很简单，即使后端很复杂，” Hazlewood在一次采访说到。一个API关注一系列的东西，以及如何表现个人的东西。减少API集合，搜索所有书籍和出版刊物，你会发现一个简洁的解决方案，它很直观，且不是太复杂。

　　在本文中，Hazlewood深入打探讨了API最佳实践、REST API和JSON的优缺点等等。

　　使用REST API时，什么是开发人员需要探索的？

　　Les Hazlewood：REST作为架构式构建存在于HTTP的最顶层。你交换数据的方式、你创建、读取、更新和删除数据的语义都建立在HTTP规范之内。REST是用于编纂当交换跨分离机器创建读取-删除时的工作环境如何。

　　这就是REST，编纂这些跨分离机器的行为发生的方式。因为它依赖于HTTP，我可能有一台Linux机器，它可以与Windows机器时行对话，也可以与Mac机对话。它并不是平台或厂商特定的。因为HTTP无处不在，所以REST就无处不在。所有语言（Python、PHP、Java和C#）都可以与REST一起工作。

　　REST简化了所有方面。所有人都以为他们了解了HTTP。这正是你的浏览器所讲的东西。他们知道HTTP协议、知道GIT、知道POST，因为他们多年以来一直在填写web表单。所以因为REST只使用HTTP，开发人员就认为它很简单，但是现在REST服务越来越多，而不是XML，它融汇的SOAP。

　　使用REST的难点在哪？

　　Hazlewood:：这正是我要做的演讲原因。REST是架构样式，但是使用它的方法论还没有正式的标准和规范。用样式来解释一下。我认为它的运行方式可能会与你以为稍微有点不同。因为它不是一个机器可以复制的规范，这里掺入了人为的因素。把东西变得简单易用的漏洞往往都不简单。REST和JOSN很简单。HTTP很简单。但要确保使用两者解决问题时，要直观，而不是随处都可编码化。

　　你推荐JSON和REST一起使用的其它原因还有什么？

　　Hazlewood：REST和JSON提供了与人友好的数据表述方法；数据不再像XML那样拥挤；你的肉眼就可以很容易看到。这一直都是广泛采用JSON的原因。

　　JSON是语法规范。它只是定义了基本的字符串、数字、空值、非空值。它允许你以一种简单的模式表述复杂的事情，而且以最小的元数据量。它如此的篇章，可以用于许多不同的环境中。机器很容易对其进行解析。人们也很容易阅读。

　　JavaScript是世界上一个占有重要位置的编程语言。即使主要的应用是由Java、Python或C#构建的，比重也很高，如果你有一个网页，或一个可视的用户界面，那么就会涉及到一些JavaScript。JSON与JavaScript兼容。所有具备JavaScript编程经验的人都会发现他们很容易就会了解JSON。如果你已经使用了JavaScript，那就能很轻松地与API集成。如果API返回给JSON，而且你已经编写的JavaScript，那么你的编程语言就已经知道如何与返回给服务器的数据进行交互。JSON使用JavaScript进行数据交换，而不只是编写软件，这在当前已经很流行了，

　　什么时候使用JSON正确，什么时候错误？

　　Hazlewood：显然，XML在结构化表述数据上更好。XML文档中包含更多的信息，类型在XML文档中表述会更有效。XML非常适合数据交换，但易用性方面却使用开发者犹豫了。JSON用肉眼就可以检查。XML在设计上更复杂。JSON是非常简单的语法。谈到语言设计，JSON只构建了一小部分的核心元素，而且一切都源于这一小部分元素。因为它的简单性，它很容易操作，也很容易理解。与XML相比，JSON并不是很适合机器消化信息。从这点来看，XML就会做的更好。

如上图所示，用户（User和Service Account）在调用API时会经过三个步骤：认证、鉴权和准入控制。

如上图步骤 1 所示，建立 TLS 后， HTTP 请求将进入认证（Authentication）步骤。 集群创建脚本或者集群管理员配置 API 服务器，使之运行一个或多个身份认证组件。

认证步骤输入的是整个 HTTP 请求，但是组件通常只检查头部和客户端证书。

认证模块包含客户端证书、密码、普通令牌、引导令牌和 JSON Web 令牌（JWT，用于服务账户）。

可以指定多个认证模块，在这种情况下，服务器依次尝试每个验证模块，直到其中一个成功。

如果请求认证不通过，服务器将以 HTTP 状态码 401 拒绝该请求。 反之，该用户被认证为特定的 username ，并且该用户名可用于后续步骤以在其决策中使用。 部分验证器还提供用户的组成员身份，其他则不提供。

如上图的步骤 2 所示，将请求验证为来自特定的用户后，请求必须被鉴权。

请求必须包含请求者的用户名、请求的行为以及受该操作影响的对象。 如果现有策略声明用户有权完成请求的操作，那么该请求被鉴权通过。

Kubernetes 支持多种鉴权模块，例如 ABAC 模式、RBAC 模式和 Webhook 模式等。 管理员创建集群时，他们配置应在 API 服务器中使用的鉴权模块。 如果配置了多个鉴权模块，则 Kubernetes 会检查每个模块，任意一个模块鉴权该请求，请求即可继续； 如果所有模块拒绝了该请求，请求将会被拒绝（HTTP 状态码 403）。

准入控制模块是可以修改或拒绝请求的软件模块。 除鉴权模块可用的属性外，准入控制模块还可以访问正在创建或修改的对象的内容。

准入控制器对创建、修改、删除或（通过代理）连接对象的请求进行操作。 准入控制器不会对仅读取对象的请求起作用 。 有多个准入控制器被配置时，服务器将依次调用它们。

这一操作如上图的步骤 3 所示。

与身份认证和鉴权模块不同，如果任何准入控制器模块拒绝某请求，则该请求将立即被拒绝。

除了拒绝对象之外，准入控制器还可以为字段设置复杂的默认值。

请求通过所有准入控制器后，将使用检验例程检查对应的 API 对象，然后将其写入对象存储（如步骤 4 所示）。

所有 Kubernetes 集群都有两类用户：普通用户和由 Kubernetes 管理的服务账号。

Kubernetes 并不包含用来代表普通用户账号的对象 。 普通用户的信息无法通过 API 调用添加到集群中。

但是Kubernetes 仍然认为能够提供由集群的证书机构签名的合法证书的用户是通过身份认证的用户。基于这样的配置，Kubernetes 使用证书中的 'subject' 的通用名称（Common Name）字段（例如，"/CN=bob"）来确定用户名。然后，基于角色访问控制（RBAC）子系统会确定用户是否有权针对 某资源执行特定的操作。

与普通用户不同，服务账号是 Kubernetes API 所管理的用户。它们被绑定到特定的名字空间， 或者由 API 服务器自动创建，或者通过 API 调用创建。服务账号与一组以 Secret 保存的凭据相关，这些凭据会被挂载到 Pod 中，从而允许集群内的进程访问 Kubernetes API。

Kubernetes 使用身份认证插件利用客户端证书、持有者令牌（Bearer Token）、身份认证代理（Proxy） 或者 HTTP 基本认证机制来认证 API 请求的身份。HTTP 请求发给 API 服务器时， 插件会将以下属性关联到请求本身：

你可以同时启用多种身份认证方法，并且你通常会至少使用两种方法：

当集群中启用了多个身份认证模块时，第一个成功地对请求完成身份认证的模块会 直接做出评估决定。API 服务器并不保证身份认证模块的运行顺序。

要启动客户端证书身份认证，需要配置apiserver， 传入参数 --client-ca-file=SOMEFILE ，其中ca要与集群的ca一致。集群使用的ca可以通过以下命令查看

如果客户端的证书认证通过，则 subject 中的公共名称（Common Name）就被 作为请求的用户名。 自 Kubernetes 14 开始，客户端证书还可以通过证书的 organization 字段标明用户的组成员信息。 要包含用户的多个组成员信息，可以在证书种包含多个 organization 字段。

当 API server的命令行设置了 --token-auth-file=SOMEFILE 选项时，会从文件中读取持有者令牌。目前，令牌会长期有效，并且在 不重启 API server的情况下 无法更改令牌列表。

令牌文件是一个 CSV 文件，包含至少 3 个列：令牌、用户名和用户的 UID。 其余列被视为可选的组名。

服务账号（Service Account）是一种自动被启用的用户认证机制，使用经过签名的 持有者令牌来验证请求。

当服务账号创建后，k8s会自动生成对应的secret，存有可以用来认证的token。

上面的token就可以用来认证。

所有使用token进行认证的请求 ，都要加上 Authorization 的 HTTP请求头，其值格式为 Bearer TOKEN 。

例如：如果持有者令牌为 31ada4fd-adec-460c-809a-9e56ceb75269 ，则其 出现在 HTTP 头部时如下所示：

使用这种认证方式，apiserver将从请求头中获取用户信息，认证过程如图所示。

使用这种认证方式需要对apiserver进行如下配置：

例子：

假设apiserver配置如下

收到的请求头如下

会生成如下的用户信息用于鉴权

Role 总是用来在某个namespace内设置访问权限；在你创建 Role 时，你必须指定该 Role 所属的namespace。

与之相对，ClusterRole 则是一个集群作用域的资源。这两种资源的名字不同（Role 和 ClusterRole）是因为 Kubernetes 对象要么是namespace作用域的，要么是集群作用域的， 不可两者兼具。

ClusterRole 有若干用法。你可以用它来：

如果你希望在namespace内定义角色，应该使用 Role； 如果你希望定义集群范围的角色，应该使用 ClusterRole。

Role例子

ClusterRole例子

角色绑定（Role Binding）是将角色中定义的权限赋予一个或者一组用户。 它包含若干 主体 （用户、组或服务账户）的列表和对这些主体所获得的角色的引用。 RoleBinding 在指定的名字空间中执行授权，而 ClusterRoleBinding 在集群范围执行授权。

一个 RoleBinding 可以引用同一的名字空间中的任何 Role。 或者，一个 RoleBinding 可以引用某 ClusterRole 并将该 ClusterRole 绑定到 RoleBinding 所在的名字空间。 如果你希望将某 ClusterRole 绑定到集群中所有名字空间，你要使用 ClusterRoleBinding。

RoleBinding例子

ClusterRoleBinding例子

以上就是RBAC鉴权的一个概述，总结下就是Role定义了角色有哪些权限，RoleBinding则将角色和用户关联起来。这里的权限指的是对哪些资源有哪些操作的权限，用户则包括了普通用户和服务账号。

更多的关于RBAC的描述可以看下 官网 ，包括了k8s内置的一些默认角色。

这里测试使用的k8s集群是通过kubeadm安装的，这种安装方式会将k8s中的组件如kube-apiserver、kube-scheduler等作为static pod的形式运行。因此可以通过 kubectl get pod 命令来查看对应组件的配置。

从上面的结果可以看到使用的ca是 /etc/kubernetes/pki/cacrt ，接下来开始生成客户端的证书。

这样就生成了一个用户名为test的客户端证书，接下来用这个证书去调k8s的api。

这代表我们认证通过了，但是鉴权没有通过。接下来给test授权。

先创建一个角色(roleyaml)，拥有kube-system namespace下读取pod的权限，使用命令 kubectl apply -f roleyaml 来让他生效。

接下来创建一个RoleBinding，将刚刚创建的角色绑定到test上，并使用命令 kubectl apply -f bindyaml 来让他生效

生效后再次使用curl调用api，一切正常。

先创建一个kube-system下的服务账号，命令如下

查看有没有生效

可以看到名称为test的sa(service account)已经创建了。接下来查看他对应的secret来获得token。

使用token调用k8s的api

从结果可以确认认证通过了，现在给sa授权，修改bindyaml，修改后内容如下

使用命令 kubectl apply -f bindyaml 生效后，再次调用api，这时就不会返回403了。

之前查看apiserver的配置时，看到以下配置，说明apiserver是开启了代理认证的，并且指明了使用的ca。

接下来根据ca生成代理所使用的证书，注意这个ca一般与X509所使用的ca不一致。

并且使用这种方法调用api时，不同的用户只需更改对应的请求头即可，证书不用变更，而如果使用X509的方法，则不同的用户需要使用不同的证书。

调用api

这里由于使用的请求头表明了当前的用户是test，并且之前已经给test授权过了，所以没有返回403。

接下来更改用户名为jojo，再次调用api

返回结果如下

这里 是官方的API参考文档，说明了有哪些api以及对应的使用方式。

可以搜索下Socket套接字，一般的流程是：

WSAStartup 初始化Socket库

socket 创建Socket实例 ，也就是这步确定是UDP还是TCP,是客户还是服务器

然后服务器则是bind绑定端口，listen监听端口,recv接收数据,sned发送数据

客户则是connect连接客户端，接收和发送和服务器一样

数据报则是bind绑定，recvfrom接收数据，sendto发送数据

当然最后还需要closeSocket关闭套接字实例和WSACleanup释放套接字库

我这里这是简单的提一下流程，具体的要参看专门讲Socket的教程！

企业级API网关必须要买商业的API网关才可以，开源的只适合有技术实力的互联网企业使用，传统企业的API网关的功能开源的远远满足不了需求，要在开源的基础上改动很大的工作量，企业最终要形成企业自己的API接口统一管理平台实现API的全生命周期管理，而不是定位在纯网关级别。我们是专业做企业级API网关的RestCloud，非常清楚要做好里面的工作量非常大。

在我们讲的微服务架构下的API网关，一般指的是前三类使用场景。即，主要是把企业内部的API能力，暴露给其他应用或合作伙伴使用。网关层作为客户端与服务端的一层挡板，主要起到了三大类作用：

第一类作用是隔离作用，作为企业系统边界，隔离外网系统与内网系统。

第二类作用是解耦作用，通过解耦，使得微服务系统的各方能够独立、自由、高效、灵活地调整，而不用担心给其他方面带来影响。

第三类作用是脚手架作用，提供了一个地点，方便通过扩展机制对请求进行一系列加工和处理。

二：网关的好处

（1）网关层对外部和内部进行了隔离，保障了后台服务的安全性。

（2）对外访问控制由网络层面转换成了运维层面，减少变更的流程和错误成本

（3）减少客户端与服务的耦合，服务可以独立发展。通过网关层来做映射。

（4）通过网关层聚合，减少外部访问的频次，提升访问效率。

（5）节约后端服务开发成本，减少上线风险。

（6）为服务熔断，灰度发布，线上测试提供简单方案。

（7）便于扩展。

三：API网关需要考虑的因素

1、安全性问题

企业在把服务暴露给外部使用时，首先要确保服务使用的安全，防止外部的恶意访问对公司业务的影响，特别是涉及交易方面的服务，更是要全面考虑安全性。为确保安全，需要考虑在通讯链路的建立、通讯数据的加密、数据的完整性、不可抵赖性等方面。

2、性能问题

作为企业API的入口，所有的请求都会经过API网关进行转发，可想而知，对API网关的访问压力是巨大的，有的网站甚至达到每分钟上千万的访问量。特别是在一些互联网企业，海量的移动终端每时每刻都需要与后端的服务进行交互，如果不能保证网关的高性能，企业在网关层需要投入大量的设备和成本。曾在一家互联网公司发生过，由于网关性能问题，网关的机器数量，需要与后台服务器的数量保持同步增长。这种情况显然是企业服务忍受的。

四:API网关的功能

企业级API网关应该提供下列的功能：

API网关功能

1服务路由：外部服务访问接口映射到对应的内部服务访问接口。

2认证授权：提供对用户身份的认证以及用户权限验证，包括用户身份的合法性、针对用户角色的访问授权验证、针对用户的访问授权验证、IP黑名单验证等。

3超时处理：当API网关调用的内部服务响应时间超过了在自主开发的API网关后台管理子系统中所设置的允许最长的超时时间时，API网关会立即停止调用，并返回相关消息给你。

4限流控制：当你通过API网关调用内部服务的频率达到在某个阈值时，API网关会立即做断开链路处理。过了时间后，链路会自动闭合回去。

5熔断处理：熔断处理对避免无谓的资源消耗特别有用，当通过API网关调用的内部服务出现异常的频率达到某个阈值时，那么API网关会做临时熔断处理即临时断开链路，暂时停止你对那个内部服务的调用。临时熔断后，过了一段时间后，链路会自动闭合回去。

6日志信息记录：会记录客户IP、客户请求参数、返回结果、异常信息等信息。

7负载均衡：提供API接口的负载均衡，能够处理API接口的高并发访问，防止服务雪崩。

8安全防护：提供严格的认证服务，支持算法签名，用户使用API网关提供的密钥进行认证，没有被授予密钥的客户端无法调用业务API接口，经过认证授权的请求才能到达后端应用服务。同时SSL加密。

9灰度发布：支持API接口线上灰度部署，减少应用版本切换风险。

技术选型

企业api网关现在越来越多被大型企业选择，可以了解nginx体系下的openresty,openrestyedge,kong。java体系下的springcloudgateway作为选型。一般完全自研没必要的，门槛有点高。

需求范围

企业api网关是个统称，包含的功能很多，如数据路由，协议转换，熔断，限流，应用防火墙，灰度发布等等。如果要自主研发，先明确下需求范围。

高可用

企业网关作为一个流量入口，自身的高可用要求很高，有问题如同断网的影响。需应用和系统架构师商讨设计。