Apache APISIX

Apache APISIX是 Apache 软件基金会旗下的开源 API 网关，可按请求条件路由流量，并通过插件加入认证、限流、改写、日志和观测。它位于业务关键链路，配置错误会同时影响许多服务；上线目标不应只是“请求能通”，而是每次变更都能解释、观测和快速撤回。

Route 先写清匹配边界

为域名、路径、方法或请求头定义明确条件，避免宽泛规则抢占更具体接口。给路由设置可读名称和变更说明，在测试环境检查尾斜杠、编码路径、跨域预检和 WebSocket 或流式响应。迁移旧网关时逐条对照优先级，不能只复制配置文本。

Upstream 承担节点与失败策略

把后端节点、权重、负载均衡、超时与健康检查放在上游模型中，先确认应用本身具备幂等或补偿能力。对写请求盲目重试可能造成重复订单或重复任务；被动健康检查和主动探测也要用真实故障演练验证，而不是看到节点为绿就视为可用。

插件链要检查顺序和数据暴露

认证解决客户端身份，授权与关键输入校验仍需后端配合。限流键应区分用户、应用或接口，日志与链路信息要脱敏令牌、参数和个人数据。启用社区或自研插件前，固定兼容版本，压测执行开销，并检查多个插件改写同一请求时的先后关系。

把网关对象拆成可审阅的变更单

变更单应附上一条成功请求、鉴权失败、限流触发、上游超时和流式响应的预期结果。这样评审者能看出配置改变的是谁、失败时会落到哪里，而不是只审一段难以理解的 JSON。

灰度发布从可逆的小流量开始

1. 用 Admin API 或声明式配置生成可审阅变更；
2. 先导入测试环境并验证证书、鉴权和超时；
3. 以请求头或小权重导入真实流量；
4. 观察网关延迟、错误率、上游健康与配置同步；
5. 达到阈值再扩大，否则立即恢复上一版本。

故障演练决定能否进入生产

分别模拟上游节点失效、配置存储中断、证书轮换和插件异常，确认数据面已有配置是否继续服务，控制面如何恢复。若系统已有云负载均衡或服务网格，要划清 TLS、重试、鉴权和观测职责。开源项目、第三方控制台与商业发行版并非同一产品，部署前还需核对当前版本、许可证和支持渠道。