如何监控多步骤 API 身份验证流程

Source: Dev.to

概览

认证往往是 API 中最先出现问题的环节。单个 HTTP 检查只能验证某个端点返回 200 OK，但它无法捕捉诸如凭证无效、令牌过期或缺少 Cookie 等细微的认证失败。多步骤 API 检查允许你串联多个 HTTP 请求，从而验证完整的登录流程——从提交凭证到使用令牌。

设置多步骤认证监控

1. 第一步 – 登录

创建一个 POST 请求到登录端点（例如 /api/auth/login）。

POST https://example.com/api/auth/login
Content-Type: application/json

{
  "client_id": "YOUR_CLIENT_ID",
  "client_secret": "YOUR_CLIENT_SECRET"
}

• 预期响应：200 OK，并返回包含访问令牌的 JSON 体。
• 在 Velprove（或你的监控工具）中配置提取令牌值，例如：

{
  "token": "eyJhbGciOiJIUzI1NiIsInR5cCI6..."
}

在后续步骤中使用提取语法 {{token}}。

2. 第二步 – 使用令牌

创建一个 GET 请求来访问受保护资源，并在请求中传入上一步获取的令牌。

GET https://example.com/api/me
Authorization: Bearer {{token}}

• 预期响应：200 OK，返回用户的个人资料数据。

3. 可选的第三步 – 验证其他端点

你可以添加额外的检查，例如仪表盘端点：

GET https://example.com/api/dashboard
Authorization: Bearer {{token}}

• 预期响应：200 OK。

4. 扩展流程

• 令牌刷新 – 在首次登录后，添加一步调用令牌刷新端点，提取新令牌，并在后续请求中使用。
• 基于会话的 API – 如果 API 使用 Cookie 而非 Bearer 令牌（例如 WordPress 登录、WHMCS 门户），在第一步捕获 Set‑Cookie 头部，并在后续请求中包含该 Cookie。

警报的最佳实践

• 更短的检查间隔 – 在 Pro 级别套餐中，你可以每 30 秒运行一次检查，从而在一分钟内发现认证失败，而无需等待数分钟。
• 针对性的警报渠道 – 将警报路由到 Slack、Discord、Microsoft Teams、Webhook 或 PagerDuty（以及电子邮件），确保相关团队能够即时获知。
• 专用的测试凭证 – 使用单独的、非生产环境账号进行监控，避免触发速率限制或锁定，影响真实用户。
• 分别监控每个认证提供商 – 如果你的应用支持多种登录方式（邮箱/密码、Google OAuth、SAML 等），为每种方式创建独立的多步骤检查。某一提供商的故障不一定意味着其他提供商也不可用。

入门指南

如果你已经在使用简单的 HTTP 检查来监控健康端点，那么升级到多步骤 API 检查就是自然的下一步。它们不仅验证每个端点是否响应，还验证整个认证流程是否端到端正常工作。

1. 创建 Velprove 账户（提供免费套餐）。
2. 添加多步骤 API 检查 – 免费层最多 3 步，Starter 层 5 步，Pro 层 10 步。
3. 根据需要扩展 – 升级以获取更多步骤、更快的间隔或高级警报集成。