API 网关中的鉴权怎么做?

面试题简述

API 网关中的鉴权怎么做?展开说一下 JWT?

面试题考点

API 网关常用于统一入口、安全控制、限流、日志等,其中鉴权是面试重点。

问到 JWT 时,面试官想看候选人是否理解分布式系统下的无状态鉴权机制。

面试官想听的

1、是否能讲清楚 API 网关为什么要做鉴权;

2、JWT 是如何支撑分布式架构的无状态鉴权;

3、是否理解签发、验证、刷新、失效的机制。

面试示例回答

API 网关的鉴权一般在请求进入后第一步执行,用于判断请求是否合法。常见做法是结合 JWT 实现无状态认证。

详情请参考:http://xhslink.com/o/8t4oZhtNsSJ

由浅入深分析

1、JWT 无状态的意义: 每个请求自带身份,不依赖中心 Session,方便水平扩展。

2、签名机制: 基于 HMAC 或 RSA,保证不可篡改。

3、过期与刷新机制: Access Token + Refresh Token 搭配使用。

4、安全性注意: 避免敏感信息明文写入 Payload;HTTPS 是必须的。

5、API 网关的作用: 集中做鉴权、限流、熔断,后端服务只处理业务逻辑。

面试加分点

1、能提到 JWT 不能主动失效的问题,除非放入黑名单或缩短 TTL。

2、能讲出 Refresh Token 机制或 分布式 Session 的替代方案。

3、能提到 API 网关层做鉴权可以统一入口、减轻服务压力,将会是大的加分项。

#春招##实习##后端开发##算法##秋招#
2025八股文复盘 文章被收录于专栏

带你复盘2025大厂八股文面试,拆解面试官到底想听啥

全部评论

相关推荐

01-14 15:09
门头沟学院 Java
对求职新人来说,把商城作为后端项目放在简历上,绝对是性价比比较高的选择 。这个项目看似是求职季的大众款,实则包含很多后端开发的核心考点。从技术层面,你能完整了解 Spring Cloud 微服务生态:用 Nacos 做服务注册与配置中心,用 OpenFeign 实现服务间调用,用 Gateway 搭建 API 网关,用 Sentinel 做限流熔断,再搭配 Redis 缓存优化商品查询、RabbitMQ 削峰填谷处理订单流量、MySQL 分库分表应对海量数据 —— 这套技术组合拳打下来,你对分布式系统的理解,早已远超只会写 CRUD 的应届生。从求职层面,这个项目更是面试的加分利器。HR 和技术面试官对商城项目的业务逻辑熟门熟路,你能清晰讲出 “商品秒杀的高并发解决方案”“订单分布式事务的处理思路”“库存超卖问题的规避方法”,远比空泛地说 “精通 Spring Boot” 更有说服力。对中小厂而言,这类贴近业务的项目经验,意味着你入职后能快速上手企业级开发;对大厂来说,这也是证明你具备后端核心能力的直观凭证。更重要的是,这个项目能帮你建立工程化思维。从需求拆解、架构设计,到代码编写、单元测试,再到 Docker 容器化部署、CI/CD 流水线搭建,每一步,都是从 “校园开发者” 到 “职场工程师” 的蜕变。别担心项目撞款,真正能拉开差距的,从来不是项目名称,而是你对技术细节的深挖和对业务场景的思考。把一个项目做深做透,它就是你简历上最亮眼的金字招牌。
简历第一个项目做什么
点赞 评论 收藏
分享
评论
点赞
2
分享

创作者周榜

更多
牛客网
牛客网在线编程
牛客网题解
牛客企业服务