如何为新API自动启用Kong身份验证插件？

Question

我们在定制服务部署系统中使用Kong，我们为Kong开发了一个新的身份验证插件，以满足我们的特定需求。

所有这些都运作良好，我们测试了这样做：

1. 注册新的API（服务）
2. 发出POST请求以在新API上启用身份验证插件

虽然这有效，但它为黑客打开了一个机会窗口，可以在1和2之间执行未经身份验证的请求。这显然是不可接受的，但我找不到自动启用身份验证代理的方法

Kong还有办法：

• 为所有新API自动启用一组给定的插件。
• 指定注册新API时要启用的插件列表。

Answer 1

目前，无法在插入时自动将插件策略应用于API。还有一个问题可能有所帮助（但目前尚未实施）：https://github.com/Mashape/kong/issues/1279

这将允许您：

1. 添加API，但enabled=false并且不会向其代理任何请求。
2. 添加插件
3. 使用enabled=true。
启用API

截至今天，唯一的方法是：

1. 使用假的upstream_url添加一个无处可寻的API。
2. 添加插件。
3. 使用PATCH请求更新API，现在将其指向正确的upstream_url。