API Gateway 与 WAAP 的差异——以及同时需要二者的理由

Oct 16, 2025

Danielle Walter

寫於

Danielle Walter

Danielle Walter 积极倡导全球 IT 专业人士通过创新方式实现 IT 转型，进而带动他们的公司发展。在专门深耕安全领域之前，她曾是负责针对云提供商进行信息传播/品牌推广的主题专家。她热衷于在行业内开展思想领导力方面的合作，并在各种活动中发表演讲。作为一名认证的侍酒师，Danielle 会通过品鉴新款葡萄酒，发现新的美食以及发掘新的葡萄酒产地来享受她的闲暇时光。

原文于 2024 年 6 月 18 日发布；于 2025 年 10 月更新

Akamai API Gateway 和 Akamai App & API Protector 简介

Akamai 持续进步，以应对当今数字化环境中不断变化的 Web 应用程序和 API 保护 (WAAP) 挑战。作为一家致力于网络安全的合作伙伴，我们持续追踪最新的应用程序编程接口 (API) 安全威胁，旨在构建强大可靠的解决方案，为尊贵的客户提供最坚实的防护保障。

今天，我们要重点介绍两款 Akamai 解决方案的关键能力和功能，搭配使用这两款解决方案可增强企业的安全架构：Akamai API Gateway 是我们的 API 流量控制解决方案，Akamai App & API Protector 是我们的云 WAAP 解决方案。

了解 Akamai API Gateway 的工作原理

API Gateway 可支持和优化企业网络的 API 管理和安全，它充当着关键枢纽，用于对传入 API 请求进行身份验证、授权和路由。此网关作为第一道防线，在 API 请求与后端系统交互前先对此类请求进行审查，即通过对流量进行身份验证和授权来检查 API，确保其可访问、高效且安全。

探索 Akamai App & API Protector

我们的 App & API Protector 实现了从传统 Web 应用程序防火墙 (WAF) 的升级转型，提供专为 Web 应用程序和 API 定制的全面保护。该解决方案体现了下一代 WAAP 技术，它提供了统一的方法，通过自动化和智能化的大规模使用，保护资产免受高级安全威胁。

此外，该解决方案利用从全球流量和威胁中持续学习而获得的自适应安全性，确保以最新的防御措施来应对不断演变的网络安全挑战。

这款全面的 WAAP 解决方案由持续更新的强大技术和方法提供动力，能够改进企业的安全态势，同时超越了传统 WAF 的功能。

虽然在讨论针对 OWASP 十大 Web 应用程序安全风险和 OWASP 十大 API 安全风险防护措施时，“WAF”和“云 WAAP 解决方案”常被混用，但我们坚持使用后者，因为它包含了对 Web 应用程序和 API 的保护。

图 1 显示了 API Gateway 如何对计划流向客户环境的合法和恶意流量的凭据进行身份验证，以及 App & API Protector 随后如何对该流量应用保护、监测和边缘缓存扩展，确保只有合法流量抵达客户。

API Gateway 和 WAAP 如何协同工作

API 请求的旅程始于 API Gateway，它将对此类请求进行审查、身份验证/授权和智能路由。
通过网关后，流量流入 App & API Protector，它将进行更深入的安全检查，包括分布式拒绝服务 (DDoS) 攻击缓解、爬虫程序管理、SSL 和 TLS 加密等。App & API Protector 应用安全策略和权限验证对攻击尝试进行缓解和补救。
Akamai 的分层安全模型仅允许安全、合法的请求抵达客户的关键后端服务和微服务并与此类服务互动。

API Gateway 和 WAAP 的差异

虽然 API Gateway 和 WAAP 作为 Akamai 安全控制措施和架构不可或缺的组成部分可以相互补充，但它们在缓解 API 威胁的过程中扮演着截然不同的角色。
API Gateway 处理 API 流量身份验证、授权和路由，以确保流量经过优化，可以通过运行时性能检查和初始安全检查。
App & API Protector（我们的 WAAP 解决方案）提供更深层次、更加细化的安全保护。它利用 Akamai Adaptive Security Engine 等先进的安全技术，针对威胁环境中普遍存在的众多恶意攻击方法（包括复杂的 Web 攻击、API 滥用等）提供保护。

为什么要将 API Gateway 与您的安全堆栈相整合？

将 API Gateway 用作您企业的所有传入 API 流量的初始检查点，您将获得：

访问控制。通过在边缘验证 JSON Web 令牌 (JWT) 和管理 API 密钥，API Gateway 将阻止不必要的流量抵达您的核心系统，为您的身份提供商减负，同时大幅降低网络延迟。
流量管理。由于能够对 API 请求设置和实施限制，因此，即便在 API 调用数过多的情况下，您的服务也能保持正常运行。它将支持您进行精细控制，包括哪些用户能够以什么样的频率访问哪些资源。
改进的报告和策略执行。API Gateway 可提供针对 API 使用模式的见解，并可强制实施路由规则和 API 隐私设置等策略，从而确保获得卓越性能且符合各项标准。

App & API Protector 的多合一安全方法

App & API Protector 设计为快速、可靠、全面的安全解决方案，在单个框架中纳入了多项复杂功能和多个防护层（图 2）。

业界领先的应用程序安全

通过分层功能和自定义精细设置（例如设计用于防范最复杂威胁并解决漏洞的高级速率限制），您的所有应用程序都将获得更好的保护。针对客户声誉等因素提供额外保护，这类保护措施利用平台的广泛监测帮助您采取更主动的安全立场。

API 防护

除了 API 攻击防护外，我们的 WAAP 解决方案还具备 API 发现功能，可提醒您的安全团队注意新的、经修改的或易受攻击的 API，并主动报告尝试使用或访问个人身份信息（包括信用卡号、电子邮件地址和帐户信息）的 API。这有助于防止数据泄露，并遵守旨在保护敏感数据的法律和法规。

DDoS 攻击防护

App & API Protector 在 DDoS 防护方面是公认的市场领导者，它通过在远离客户位置的网络边缘吸收和分散攻击流量，更有效地为基础架构提供防护。最近的创新还增强了第 7 层 DDoS 防护（包括速率限制），用于抵御瞄准您应用程序的容量耗尽网络攻击。

爬虫程序监测和抵御

访问 Akamai 提供的、包含 1,700 多个已知爬虫程序的广泛目录，实时监测您的爬虫程序流量。调查存在偏差的 Web 分析、防止源站超载、阻止恶意爬虫程序攻击，并创建自己的爬虫程序定义，确保能够不受阻碍地访问第三方和合作伙伴的爬虫程序。

Akamai 边缘平台和内容交付网络 (CDN)

App & API Protector 将高度有效的安全防护与我们卓越边缘平台提供的先进性能相结合，并通过我们的 CDN 解决方案提供 100% 服务级别协议可用性。其中还包括多项深受客户喜爱的功能，例如 Akamai Site Shield、Akamai Image & Video Manager、Akamai mPulse Lite、Akamai EdgeWorkers 和 Akamai API Acceleration。