ABP vNext微服务架构详细教程——API网关
1. 项目搭建
这里我们API网关采用webAPI+Ocelot构建，首先在解决方案下创建文件夹apigateway并添加空白API，不包含Controller和Swagger，项目命名为Demo.Gateway。添加引用：Ocelot和IdentityServer4.AccessTokenValidation。其中IdentityServer4.AccessTokenValidation用于身份认证。
编辑项目配置文件appsettings.json，按服务规划，我们设置端口号为4000，添加配置项
"urls": "http://*:4000"
在appsettings.json中添加以下配置用于配置身份认证服务的地址：
"AuthService": "http://localhost:4100"
在项目中添加一个新的配置文件ocelot.json，用于存放Ocelot的路由配置，其内容在后面步骤中添加
修改Program.cs文件改为如下内容：
using IdentityServer4.AccessTokenValidation; using Ocelot.DependencyInjection; using Ocelot.Middleware;; var builder = WebApplication.CreateBuilder(args); //加载配置文件ocelot.json builder.Configuration.AddJsonFile("ocelot.json"); //配置身份认证服务 Action<IdentityServerAuthenticationOptions> optionsAuth = o => { o.Authority = builder.Configuration["AuthService"]; //身份认证服务地址 o.SupportedTokens = SupportedTokens.Jwt; //Token接入方式 o.ApiSecret = "secret"; o.RequireHttpsMetadata = false; o.JwtValidationClockSkew = TimeSpan.FromSeconds(0); //为防止有效期出现误差 }; builder.Services.AddAuthentication() .AddIdentityServerAuthentication("DemoAuth", optionsAuth); builder.Services.AddOcelot(); var app = builder.Build(); app.UseAuthentication(); app.UseOcelot().Wait(); app.Run();
启动Demo.Gateway项目可正常运行，即基础代码搭建成功。
2.配置路由规则
按照上一步的设置，我们需要将路由配置存放于Demo.Gateway项目ocelot.json文件中。
因为服务层服务不对外暴露访问接口，所以不需要对服务层服务配置网关路由，需要对聚合服务层服务做路由转发规则。同时，在身份认证服务中，我们只需要对外暴露登录、刷新Token相关接口，原属于OAuth相关的接口不需要对外暴露，所以不做路由规则匹配。
详细路由规则匹配规范请参考官方文档：https://ocelot.readthedocs.io/en/latest/features/configuration.html
ocelot.json配置如下：
{ "Routes": [ { "DownstreamPathTemplate": "/api/{url}", "DownstreamScheme": "http", "DownstreamHostAndPorts": [ { "Host": "localhost", "Port": 4100 } ], "UpstreamPathTemplate": "/ids/{url}", "UpstreamHttpMethod": [ "Get","Post","Put","Delete" ] }, { "DownstreamPathTemplate": "/api/{url}", "DownstreamScheme": "http", "DownstreamHostAndPorts": [ { "Host": "localhost", "Port": 6001 } ], "UpstreamPathTemplate": "/admin/{url}", "UpstreamHttpMethod": [ "Get","Post","Put","Delete" ], "AuthenticationOptions": { "AuthenticationProviderKey": "DemoAuth", "AllowedScopes": [] } }, { "DownstreamPathTemplate": "/api/{url}", "DownstreamScheme": "http", "DownstreamHostAndPorts": [ { "Host": "localhost", "Port": 6002 } ], "UpstreamPathTemplate": "/store/{url}", "UpstreamHttpMethod": [ "Get","Post","Put","Delete" ], "AuthenticationOptions": { "AuthenticationProviderKey": "DemoAuth", "AllowedScopes": [] } } ], "GlobalConfiguration": { "BaseUrl": "https://localhost:4000" } }
这里Routes下每个对象为一个路由配置：
UpstreamPathTemplate和DownstreamPathTemplate分别为上游请求路由和下游服务路由，前者为对外暴露的路由地址，后者为实际服务提供者的路由地址，通过{url}做表达式匹配。例如我们身份认证服务
因为我们这里使用HTTP接口，且HTTPS证书不在网关上配置而是在Ingress中配置，所以DownstreamScheme值设置为http
UpstreamHttpMethod代表可允许的请求方式，如Get、Post、Put、Delete等，可依据实际需要进行配置
DownstreamHostAndPorts表示下游服务地址，可以设置多个，我们这里测试环境设置一个固定的即可。生产环境可使用Kubernetes的Service名称+端口号，具体会在后面文章中介绍。
AuthenticationOptions为身份配置选项，其中AuthenticationProviderKey必须和Program中 .AddIdentityServerAuthentication("DemoAuth", optionsAuth); 的第一个参数一致。这里身份认证服务登录和刷新Token接口不需要身份认证，所以不带此参数。
3. 联通测试
启动API网关(Demo.Gateway)、身份认证服务(Demo.Identity.IdentityServer)、商城服务(Demo.Store.HttpApi.Host)、订单服务(Demo.OrderManager.HttpApi.Host)，使用PostMan等工具访问获取订单列表接口，其网关地址为http://127.0.0.1:4000/store/app/store-order，方式为GET。此时会报401错误。
需要我们先通过用户名密码获取Token，使用ABP默认管理员账户admin，密码为：1q2w3E*（注意大小写）。以Post方式调用接口http://127.0.0.1:4000/ids/auth/login，Body以JSON格式写入一下内容：
{ "UserName": "admin", "Password": "1q2w3E*" }
登录成功返回示例如下：
{ "accessToken": "eyJhbGciOiJSUzI1NiIsImtpZCI6……", "refreshToken": "81871D2F7764A173277AFF3FD41……", "expireInSeconds": 72000, "hasError": false, "message": "" }
其中accessToken为访问令牌，refreshToken为刷新令牌。
再次访问获取订单接口，添加Header：Key为Authorization，Value为Bearer+空格+访问令牌，返回状态码200并返回如下数据表示测试通过：
{ "totalCount": 0, "items": [ ] }
4.当前用户
按照我们之前的设计，只需要在API网关中做身份认证，下游服务不需要二次做身份认证，那么我们可以在网关中解析用户ID并添加至Header传向下游服务。
在Demo.Gateway项目中添加中间件如下：
using Microsoft.AspNetCore.Authentication; using Microsoft.AspNetCore.Authentication.JwtBearer; namespace Demo.Gateway; public static class JwtTokenMiddleware { public static IApplicationBuilder UseJwtTokenMiddleware(this IApplicationBuilder app, string schema = JwtBearerDefaults.AuthenticationScheme) { return app.Use(async (ctx, next) => { //如果上游服务客户端传入UserID则先清空 if (ctx.Request.Headers.ContainsKey("UserId")) { ctx.Request.Headers.Remove("UserId"); } if (ctx.User.Identity?.IsAuthenticated != true) { var result = await ctx.AuthenticateAsync(schema); //如果如果可以获取到用户信息则将用户ID写入Header if (result.Succeeded && result.Principal != null) { ctx.User = result.Principal; var uid = result.Principal.Claims.First(x => x.Type == "sub").Value; ctx.Request.Headers.Add("UserId",uid); } } await next(); }); } }
在Demo.Gateway项目中的Program.cs文件中 app.UseAuthentication(); 后加入以下代码：
app.UseJwtTokenMiddleware("DemoAuth");
其参数和 .AddIdentityServerAuthentication("DemoAuth", optionsAuth); 第一个参数值一致。
这样我们就将网关解析的UserId包含在转发的Header中，下一步我们需要在下游服务中获取UserId并作为当前用户的ID使用。
创建公共类库添加当前用户中间件如下：
using System.Security.Claims; using Microsoft.AspNetCore.Http; using Volo.Abp.Security.Claims; namespace Demo.Abp.Extension; public class CurrentUserMiddleware { private readonly RequestDelegate _next; private readonly ICurrentPrincipalAccessor _currentPrincipalAccessor; public CurrentUserMiddleware(RequestDelegate next,ICurrentPrincipalAccessor currentPrincipalAccessor) { _next = next; _currentPrincipalAccessor = currentPrincipalAccessor; } public async Task InvokeAsync(HttpContext context) { string uid = context.Request.Headers["UserId"]; if (!uid.IsNullOrEmpty()) { //如果获取到用户ID，则作为当前用户ID var newPrincipal = new ClaimsPrincipal( new ClaimsIdentity( new Claim[] { new Claim(AbpClaimTypes.UserId, uid), } ) ); using (_currentPrincipalAccessor.Change(newPrincipal)) { await _next(context); } } else { //如果未获取到用户ID则忽略此项继续执行后面的逻辑 await _next(context); } } }
同时，在公共类库中以扩展方法方式添加如下类用于注册中间件：
using Microsoft.AspNetCore.Builder; namespace Demo.Abp.Extension; public static class CurrentUserExtensions { /// <summary> /// 注册当前用户中间件 /// </summary> public static void UseCurrentUser(this IApplicationBuilder app) { app.UseMiddleware<CurrentUserMiddleware>(); } }
在聚合服务层服务中，我们可以直接使用此中间件来截取用户信息，需要在聚合服务层服务的HttpApi.Host项目的Module类中OnApplicationInitialization方法 if (env.IsDevelopment()) { app.UseExceptionHandler("/Error"); } 代码后添加如下代码：
app.UseCurrentUser();
由于我们使用的动态客户端代理访问服务层服务，无法直接在调用的Header的代码里传值，我们可以采用下面方法：
在公共类库中添加AddHeaderHandler类如下：
using Volo.Abp.DependencyInjection; using Volo.Abp.Users; namespace Demo.Abp.Extension; public class AddHeaderHandler : DelegatingHandler, ITransientDependency { private ICurrentUser _currentUser; public AddHeaderHandler(ICurrentUser currentUser) { _currentUser = currentUser; } protected override async Task<HttpResponseMessage> SendAsync(HttpRequestMessage request, CancellationToken cancellationToken) { var headers =request.Headers; if (!headers.Contains("UserId")) { headers.Add("UserId",_currentUser.Id?.ToString()); } return await base.SendAsync(request, cancellationToken); } }
然后我们在每个服务层服务的HttpApi.Client项目Module类的ConfigureServices方法开头位置添加如下代码：
context.Services.AddTransient<AddHeaderHandler>();
context.Services.AddHttpClient(ProductManagerRemoteServiceConsts.RemoteServiceName)
.AddHttpMessageHandler<AddHeaderHandler>();
之后我们在服务层服务的HttpApi.Host项目的Module类中OnApplicationInitialization方法中 app.UseAuthentication(); 前加入 app.UseCurrentUser(); 即可将用户ID传入服务层。
