API 网关选型：自建 Kong 还是云托管？

API 网关是微服务的门面，选错代价很高

所有外部流量都经过网关——它挂了整个系统就不可用。选型决策的核心不是「哪个功能多」，而是谁来运维：自建网关（Kong/APISIX/OpenResty）意味着你要养一个能 7×24 处理网关故障的团队；云托管（腾讯云 API 网关/AWS API Gateway）意味着花钱买省心。这个决策的权重远大于功能对比表。

一、先判断你需要什么级别的网关

很多团队把 Nginx 就能解决的问题上成了 API 网关——如果只是路由+TLS+负载均衡，Ingress Controller 够了，别过度设计。

二、自建 vs 云托管的核心对比

决策公式：

• 团队 < 20 人且没有专职运维 → 云托管（省下的运维人力远超费用）；
• 团队大 + 定制需求强（特殊鉴权/复杂流量编排）→ 自建；
• 不确定 → 先云托管跑起来，有明确瓶颈再迁自建。

三、如果自建：APISIX 优于 Kong 的理由

1. 性能：APISIX（Apache 项目，基于 Nginx/OpenResty）在路由匹配和插件执行上比 Kong 快 2-5 倍（etcd vs PostgreSQL 的配置存储差异）；
2. 热更新：APISIX 的配置热加载（不改架构的 plugin 动态启停）比 Kong 的 DB 模式响应更快；
3. 中文生态：APISIX 是国内团队主导的 Apache 项目，中文文档/社区/企业支持更完善；
4. Kong 的优势：历史更久、插件生态更全（企业版付费插件）、Konnect 控制台成熟。

四、如果云托管：腾讯云 API 网关的要点

1. 计费：按调用次数+流量计费——百万级调用/月约几十元，比自建一台网关服务器还便宜；
2. 核心能力：API 分组/密钥对鉴权/签名验证/IP 黑白名单/流量控制/监控告警；
3. 限制：定制能力有限（特殊鉴权逻辑可能不支持）、出网带宽有上限；
4. 配合使用：云网关做外层（鉴权/限流/计费），内部用 Ingress 做服务路由——两层各管一段。

五、网关上最容易踩的四个坑

1. 把网关当万能中间件——业务逻辑塞进网关插件（Lua 脚本几百行）——网关变单体，排障噩梦。原则：网关只做流量层的事（路由/鉴权/限流），业务逻辑在服务里；
2. 限流配置拍脑袋——全局限流 1000 QPS 但下游只能扛 200——网关不挡反而放大了故障。限流值要按下游容量倒推；
3. 鉴权逻辑重复实现——网关做了一层鉴权，微服务又做一层——性能浪费+维护两份逻辑。鉴权在网关做统一（JWT 验证+用户信息透传 header），服务侧只做授权（能不能访问这个资源）；
4. 没有降级预案——网关是单点，挂了全部不可用——必须有健康检查+自动摘除+多实例部署，以及网关自身的监控告警。

结语

API 网关选型的本质是运维责任的选择：自建拿控制权、担运维责；托管交控制权、买省心。多数中小团队的最优解是云托管起步 + 按需迁移自建——别为了「技术自主」把团队拖进网关运维的泥潭。