3. 合规边界定义：数据主权与隐私法规对API网关的要求

合规边界（Compliance Boundary）是指在系统架构中，为满足法律法规、行业标准及合同义务而划定的数据与访问控制范围。在API网关场景下，合规边界定义了哪些请求可以进入、哪些数据可以出境、哪些操作必须记录，以及谁在何时对数据负责。随着GDPR、CCPA、等保2.0等法规的全球落地，API网关已从单纯的流量入口演变为合规策略的第一道执行点。

3.1 合规边界的核心含义

合规边界不是物理网络边界，而是逻辑与法律边界。它由三个维度构成：

• 数据维度：哪些字段属于敏感数据（PII、财务信息、健康数据），在何处存储、处理、传输。
• 地域维度：数据是否跨越国境或行政区域，是否进入受限司法管辖区。
• 行为维度：谁（主体）对什么数据（客体）执行了什么操作（读、写、删除、导出），是否经过授权与审计。

3.2 数据主权与隐私法规概览

当前对API网关影响最深的三部法规如下表所示：

3.3 GDPR对API网关的具体要求

GDPR是当前对API网关架构影响最深的隐私法规。其核心要求可拆解为以下可执行策略：

1. 同意管理：API网关必须在处理个人数据前校验用户同意状态。建议在网关层维护一个轻量级同意缓存（如Redis），每次请求携带 Consent-Token 头部，网关校验后放行或拒绝。
2. 数据最小化：网关应具备响应字段过滤能力。例如，对于 /api/user/profile 接口，若请求来源为第三方分析平台，网关自动移除 email、phone 字段。
3. 被遗忘权（Right to Erasure）：网关需识别“删除请求”并路由至数据删除服务，同时确保缓存、日志中的相关数据也被清除或匿名化。
4. 数据可移植性：网关应支持 Accept: application/json+export 等自定义头部，触发数据导出流程。
5. 跨境传输限制：网关需根据请求来源IP或用户属地判断数据是否出境。若目标数据中心位于非充分性认定国家，则阻断或触发标准合同条款（SCC）校验。

3.4 CCPA对API网关的特殊要求

CCPA与GDPR有重叠但也有显著差异，API网关需针对性适配：

• Opt-Out 信号识别：CCPA要求企业提供“请勿出售我的个人信息”入口。API网关应识别 Sec-GPC（Global Privacy Control）头部或自定义 X-Opt-Out: true 头部，并阻止数据流向第三方分析或广告服务。
• 消费者请求分类：网关需根据请求路径或参数区分“知情请求”、“删除请求”、“Opt-Out 请求”，并路由到不同的处理管道。
• 数据分类标记：CCPA对“个人信息”的定义比GDPR更宽泛（包括设备标识符、浏览历史等）。网关应在请求进入时根据数据分类标签（如 X-Data-Category: PII）决定是否触发CCPA规则。

3.5 等保2.0对API网关的扩展要求

等保2.0（GB/T 22239-2019）是中国网络安全等级保护制度的最新标准，对API网关提出以下技术控制点：

3.6 合规边界在API网关中的落地架构

下图展示了一个多法规合规边界在API网关中的分层执行架构：

3.7 合规边界的实施清单

在API网关中落地合规边界，建议按以下步骤推进：

1. 数据分类与标记：在网关层建立数据分类字典，对每个API端点标记数据敏感等级（L1-L4）和适用法规。
2. 法规规则引擎：实现可热更新的规则集，支持按来源地域、用户角色、数据类别组合触发不同策略。
3. 同意与偏好管理：集成同意管理服务，网关在请求进入时校验 Consent-Token 或 GPC 头部。
4. 动态脱敏与过滤：在响应离开网关前，根据策略对敏感字段进行脱敏（如手机号中间四位替换为 ****）。
5. 审计日志标准化：统一日志格式（如 CEF 或 JSON），包含时间戳、用户ID、请求路径、操作类型、结果码、数据分类标签。
6. 跨境传输控制：在网关层维护“允许数据中心列表”和“受限国家列表”，对出境请求进行阻断或触发审批流程。

3.8 合规边界的持续验证

合规边界不是一次性的配置工作，需要持续验证和审计：

• 自动化合规扫描：定期对网关策略进行自动化扫描，检查是否存在未标记的敏感数据端点、过期的同意令牌、缺失审计日志的接口。
• 合规混沌工程：模拟GDPR删除请求、CCPA Opt-Out请求、等保2.0审计日志篡改等场景，验证网关的合规策略是否按预期执行。
• 法规变更跟踪：订阅法规更新（如GDPR的《数据治理法案》、等保2.0的行业扩展要求），及时调整网关规则集。