2026年API网关从业人员业务考试题库及参考答案

2026年API网关从业人员业务考试题库及参考答案一、单项选择题（每题1分，共30分）1.API网关的核心功能不包括以下哪一项？A.请求路由B.协议转换C.数据库存储D.认证授权答案C2.RESTfulAPI中，当资源创建成功时，通常返回的HTTP状态码是？A.200B.201C.204D.400答案B3.API网关中，常见的限流算法不包括？A.令牌桶算法B.漏桶算法C.固定窗口计数D.冒泡排序算法答案D4.API网关对外提供HTTPS服务时，使用的安全协议是？A.TCPB.UDPC.TLSD.FTP答案C5.OAuth2.0中，用于获取访问令牌的授权模式不包括？A.授权码模式B.简化模式C.密码模式D.对称加密模式答案D6.API网关实现灰度发布通常基于以下哪种机制？A.请求头或Cookie中的标签路由B.服务器IP地址分流C.客户端MAC地址分流D.网络延迟大小分流答案A7.JWT的结构不包括以下哪个部分？A.HeaderB.PayloadC.SignatureD.Certificate答案D8.API网关中，熔断器的主要作用是？A.防止服务雪崩B.提高网络带宽C.增加缓存容量D.减少代码量答案A9.以下哪种限流算法能够允许一定程度的突发流量？A.固定窗口计数B.滑动窗口计数C.令牌桶算法D.漏桶算法答案C10.OpenAPI规范文件通常使用的格式是？A.XMLB.YAML或JSONC.HTMLD.CSV答案B11.API网关中，负责将外部请求转发到后端服务的组件是？A.路由器B.数据库C.消息队列D.缓存服务器答案A12.以下哪种认证方式属于无状态认证，适合在API网关中使用？A.SessionCookieB.JWTC.表单登录D.服务端Session共享答案B13.API版本控制的常见做法不包括？A.URL路径版本控制B.查询参数版本控制C.请求头版本控制D.数据库表版本控制答案D14.后端服务响应超时，API网关在未获取到响应时通常返回的HTTP状态码是？A.500B.502C.503D.504答案D15.API网关的常见部署架构不包括？A.单机部署B.集群部署C.主备部署D.以上都属于常见部署架构答案D16.API网关配置CORS的主要目的是？A.实现跨域资源共享B.防止跨站请求伪造C.增强内容安全策略D.进行证书签名校验答案A17.在微服务架构中，API网关通常作为系统的？A.服务注册中心B.统一入口C.数据库代理D.消息中间件答案B18.HTTP方法中，用于删除资源的是？A.GETB.POSTC.PUTD.DELETE答案D19.API网关的日志功能主要用途是？A.审计和问题排查B.提高响应速度C.替代后端存储D.增强数据加密答案A20.以下哪个不属于API网关常见的插件类型？A.限流插件B.认证插件C.日志插件D.数据库驱动插件答案D21.当后端服务实例数量动态变化时，API网关需要具备什么能力？A.服务发现B.静态配置C.手动重启D.硬编码IP地址答案A22.API网关实现协议转换时，以下哪项属于常见的协议转换场景？A.HTTP转HTTPSB.TCP转UDPC.二进制转文本D.SOAP转REST答案D23.使用APIKey认证时，APIKey通常放置在请求的哪个位置？A.Header或Query参数中B.Cookie中C.HTML标签中D.请求正文的随机位置答案A24.API网关的负载均衡算法不包括？A.轮询B.加权轮询C.一致性哈希D.快速排序算法答案D25.在API管理全生命周期中，以下哪个环节不属于API网关的典型职责？A.API设计B.API发布C.API监控D.数据库建模答案D26.以下关于API网关限流的说法中，错误的是？A.限流可以保护后端服务B.限流可以基于IP、用户、API维度C.限流规则一旦配置无需动态调整D.限流过度可能影响用户体验答案C27.HTTP/2相较于HTTP/1.1的优势不包括？A.多路复用B.头部压缩C.服务器推送D.更高的连接数开销答案D28.API网关中，IP黑白名单属于以下哪种安全措施？A.访问控制B.数据加密C.防病毒D.漏洞扫描答案A29.以下哪个场景最适合引入API网关？A.单体应用内部的函数调用B.多个异构系统需要统一对外暴露APIC.数据库与数据库之间的同步D.局域网内的文件共享答案B30.API网关的“请求聚合”功能是指？A.将多个后端API的结果合并后返回给客户端B.将多个客户端请求合并为一个请求C.将API请求进行压缩D.将日志进行聚合分析答案A二、多项选择题（每题2分，共20分。多选、少选、错选均不得分）1.API网关的常见功能包括哪些？A.请求路由B.认证授权C.流量控制D.监控日志答案ABCD2.以下哪些属于API安全防护的常见措施？A.使用HTTPS加密传输B.实施OAuth2.0授权C.配置IP白名单D.明文存储API密钥答案ABC解析明文存储API密钥会带来严重安全隐患，应避免。3.API网关中常用的限流算法包括哪些？A.令牌桶算法B.漏桶算法C.固定窗口计数D.堆排序算法答案ABC4.微服务架构中使用API网关可以带来哪些好处？A.统一入口，简化客户端调用B.集中安全策略，降低重复开发C.降低微服务之间的耦合复杂度D.实现统一的监控和审计答案ABCD5.JWT的结构中包含以下哪些部分？A.HeaderB.PayloadC.SignatureD.Cookie答案ABC6.API版本管理的常见策略包括？A.URL路径版本控制B.查询参数版本控制C.请求头版本控制D.数据库版本控制答案ABC7.实现API网关高可用可以采用以下哪些技术？A.多节点集群部署B.负载均衡器C.健康检查D.自动故障转移答案ABCD8.以下哪些属于常见的开源API网关方案？A.KongB.ApacheAPISIXC.MySQLD.SpringCloudGateway答案ABD解析MySQL是关系型数据库，不是API网关。9.API监控中的关键指标通常包括哪些？A.请求量QPSB.错误率C.平均响应时间D.并发连接数答案ABCD10.API网关的插件机制可以扩展以下哪些能力？A.自定义认证B.请求改写C.响应缓存D.流量镜像答案ABCD三、判断题（每题1分，共10分。正确的填“正确”，错误的填“错误”）1.API网关只能用于微服务架构，不能用于单体应用。答案错误2.RESTfulAPI使用HTTP动词来表示操作，例如GET用于获取资源。答案正确3.限流可以完全避免后端服务过载。答案错误解析限流只能缓解过载风险，无法完全避免，例如极端流量或配置不当仍可能过载。4.OAuth2.0的授权码模式是较为安全的授权模式之一。答案正确5.API网关的熔断器打开后，将不再转发任何请求到该后端服务，直到恢复条件满足。答案正确6.使用JWT认证时，服务端必须存储JWT令牌以便验证。答案错误解析JWT是无状态令牌，服务端只需持有签名密钥即可验签，无需存储令牌本身。7.在API网关中配置CORS可以解决跨域问题。答案正确8.HTTP状态码404表示服务器内部错误。答案错误解析404表示资源未找到，服务器内部错误是500。9.API网关的日志功能可以记录请求和响应的详细内容，便于审计。答案正确10.API网关的灰度发布可以根据用户标识将流量分流到不同版本的后端服务。答案正确四、简答题（每题10分，共20分）1.简述API网关在微服务架构中的核心作用，至少列出五点。答案(1)统一入口：为所有客户端提供唯一访问端点，屏蔽内部微服务拓扑细节。(2)请求路由：根据路径、参数等将请求转发到正确的后端服务实例。(3)认证授权：在网关层集中实现身份验证和权限控制，避免每个微服务重复实现。(4)限流熔断：保护后端服务免受过载，防止故障扩散引发雪崩。(5)监控日志：记录请求指标和日志，支持审计、告警和问题排查。(6)协议转换与负载均衡：适配不同协议，均衡流量，提升可用性和性能。2.简述API网关中常见的限流算法及其各自特点。答案(1)固定窗口计数：将时间划分为固定窗口，窗口内请求数超限即拒绝，实现简单，但存在临界突发问题。(2)滑动窗口计数：将窗口细分为多个小窗口，随时间滑动统计，平滑性较好，减少临界问题。(3)漏桶算法：以固定速率处理请求，超出桶容量的请求直接丢弃或排队，输出速率恒定，无法应对突发流量。(4)令牌桶算法：以固定速率向桶中放入令牌，请求须获取令牌才能通过，允许一定程度的突发流量，灵活性较高。五、案例分析题（每题20分，共20分）某电商平台后端包含订单服务、用户服务、商品服务等多个微服务。现需要统一对外提供API，客户端包括移动APP、Web前端以及第三方合作方。请设计一套API网关方案，并回答以下问题：1.API网关在该场景中应承担哪些主要职责？（6分）2.如何设计认证方案以保证不同客户端的安全访问？（7分）3.如何实现限流和熔断以保护后端服务？请给出具体策略。（7分）答案：1.主要职责（6分）：(1)统一入口与路由：所有客户端请求通过网关进入，网关根据API路径及标识将请求路由至对应微服务。(2)认证与授权：在网关层集中验证客户端身份并校验访问权限。(3)流量控制：实现限流、熔断、降级、超时控制等策略。(4)监控与日志：采集请求量、错误率、响应时间等指标，记录访问日志用于审计。(5)协议适配与转换：将外部HTTP/HTTPS请求转换为内部服务需要的协议格式。(6)API版本管理与灰度发布：支持多版本API共存，按策略灰度分流。2.认证方案设计（7分）：根据客户端类型采用不同认证策略：(1)移动APP与Web前端：采用OAuth2.0授权码模式+JWT。用户通过登录获取授权码，再换取短期JWT访问令牌，网关验证JWT签名及有效期，无状态认证，天然水平扩展。(2)第三方合作方：分配APIKey+Secret，采用HMAC签名认证，防止密钥泄露和重放攻击；同时可结合IP白名单限制来源。(3)统一在网关层配置认证插件，JWT验签密钥集中管理，后端服务不再处理认证逻辑，降低安全风险。(4)令牌刷新与吊销：JWT设置较短有效期，配合RefreshToken实现无感刷新；必要时维护黑名单或版本号实现吊销。3.限流与熔断策略（7分）：(1)限流策略：-基于网关插件实现多维度限流：按客户端ID、用户ID、API路径分别配置限额。-算法选择令牌桶算法，允许一定突发，同时限制平均速率；关键交易类API（如订单支付）采用漏桶算