4. 接入层设计：API网关选型与高可用策略

信用评分特征服务的接入层是流量的第一道关卡，承担着协议转换、身份认证、流量管控、路由分发和灰度发布等核心职责。API网关的选型与配置直接决定了特征服务在面对突发流量、上游故障或版本变更时的稳定性。

4.1 网关选型对比：Kong vs. APISIX

在信用评分场景下，Kong和APISIX是当前社区最活跃、生产验证最充分的两款云原生API网关。下表从关键维度进行对比：

4.2 限流与熔断策略

特征服务依赖多个上游数据源（征信机构、反欺诈引擎、内部特征库），任何一个上游抖动都可能引发级联故障。接入层必须实现多层限流和熔断保护。

4.2.1 限流策略矩阵

4.2.2 熔断策略设计

熔断采用半开状态机模型，关键参数配置如下：

# APISIX 熔断插件配置示例 (适用于信用评分上游)
{
  "breaker": {
    "healthy": {
      "http_statuses": [200, 201, 204],
      "successes": 5
    },
    "unhealthy": {
      "http_statuses": [500, 502, 503, 504],
      "http_failures": 10,
      "timeout_failures": 5
    },
    "timeout": 30,           # 熔断持续时间（秒）
    "max_requests": 10,      # 半开状态最大探测请求数
    "interval": 60           # 统计窗口（秒）
  }
}

4.3 请求路由与灰度发布

特征服务版本迭代频繁，新特征上线、模型更新、数据源切换都需要灰度验证。接入层路由策略需支持多维度流量调度。

4.3.1 路由规则层级

1. 基础路由： 按 URI 前缀 /v1/credit/ 路由到特征服务集群 A，/v2/credit/ 路由到集群 B。
2. 权重路由： 同一版本内按权重分发至不同上游实例，用于蓝绿部署。
3. 条件路由： 基于 Header（X-Canary）、Cookie（user_id）、Query Param（debug=true）将特定流量导入灰度版本。
4. 地域路由： 根据客户端 IP 归属地，将请求路由至最近的数据中心特征服务。

4.3.2 灰度发布流程

4.4 接入层高可用架构总览

下图展示了信用评分特征服务接入层的完整架构，涵盖网关集群、限流熔断、路由分发和灰度发布的核心组件：

4.5 接入层高可用检查清单

• 网关集群：至少部署 3 个节点，使用 LVS 或 Nginx 做前端负载均衡，避免单点故障。
• 限流配置：所有接口必须配置上限，且限流阈值通过配置中心动态下发，支持紧急降级。
• 熔断参数：根据上游 P99 延迟和错误率调整熔断阈值，避免频繁误熔断。
• 灰度隔离：灰度版本必须与稳定版本物理隔离（独立容器/主机），防止灰度故障影响主链路。
• 监控告警：网关层暴露 QPS、延迟、错误率、熔断次数、限流命中数等核心指标，接入 Prometheus + Grafana。
• 日志审计：所有请求记录网关处理日志，包含灰度标签、路由决策、限流/熔断动作，用于事后审计和问题定位。