2025 Prometheus API 完整指南：基礎查詢、PromQL 高級用法與自定義監控實踐
授權通常分為三個粒度級別：
控制訪問的范圍較廣，例如整個應用程序或主要系統功能。基于角色的訪問控制（RBAC）是典型的粗粒度授權方式。例如：
這種級別的授權通常在應用程序邏輯或數據庫中實現，但也容易受到諸如對象級別授權漏洞（BOLA）的攻擊，這在 OWASP API 安全前10名 中占據一席之地。
這是大多數 API 安全需求的核心，使 API 網關成為理想的策略執行點（PEP）。在網關級別實施訪問控制，不僅可以減少后端負載，還能防止未經授權的請求到達微服務，同時確保所有 API 的安全策略一致。
通過在 API 網關中實現中等粒度的授權，可以有效提升系統的安全性和效率。
API 網關作為網絡邊緣的第一道防線，能夠在流量到達上游服務之前執行安全策略。深度防御策略強調多層次的保護，確保即使某一層被繞過，其他層仍能提供額外的控制措施，限制潛在的安全威脅。
此外，應用程序作為最后一道防線，可以在業務邏輯層面進一步驗證用戶權限，并執行更細粒度的輸入驗證和監控。這種分層的安全模型確保了微服務無需處理復雜的身份驗證和授權邏輯，從而提升整體系統的安全性和可擴展性。
AuthZEN 旨在通過提供統一的 API 授權標準，簡化策略執行點（PEP）與策略決策點（PDP）之間的通信。相比于傳統的定制授權機制，AuthZEN 的標準化方法具有以下優勢：
OpenID AuthZEN 工作組聯合主席 Omri Gazitt 將授權領域的核心問題描述為“N-M”挑戰：每個應用程序都有其獨特的權限分配方式，導致開發人員需要為每個系統創建定制集成。這種碎片化不僅效率低下，還增加了開發成本。
AuthZEN 通過定義通用的 API，使問題從“N*M”（每個應用程序與每個授權提供商集成）轉變為“N+M”（應用程序與標準化 API 集成一次）。這種標準化帶來的好處包括：
通過采用 AuthZEN，API 網關如 Tyk 可以實現無縫互操作性，同時減少操作開銷。
Tyk 的 AuthZEN 插件使其 API 網關能夠作為完全標準化的策略執行點（PEP）。該插件不依賴于定制邏輯，而是通過 AuthZEN 協議與多個策略決策點（PDP）無縫通信。
當 API 網關收到請求時：
這種標準化的授權流程不僅提升了安全性，還簡化了跨系統的集成。
API 網關作為實施中等粒度授權的核心組件，可以確保安全高效的訪問控制。通過引入 AuthZEN，組織能夠構建更具擴展性和安全性的 API，而無需在微服務中嵌入復雜的決策邏輯，也無需依賴特定的授權提供商。
AuthZEN 通過提供與不同 PDP 通信的標準化框架，簡化了策略執行過程。這不僅減少了操作開銷，還確保了所有 API 之間的一致性和互操作性。未來，隨著 AuthZEN 的進一步發展，API 授權的標準化將為開發者和企業帶來更多便利和安全保障。
Tyk Blog: AuthZEN Standards-Based API Authorisation
