导读
工厂私有化内网虽做物理隔离，但视觉 AI 模型、生产工艺、质检数据均属于企业涉密资产。无任何管控的开放 API 接口，存在越权访问、非法调用、数据泄露等安全风险。
本文针对私有化部署场景，讲解基于 Nginx 的 API 网关改造完整方案，实现IP 白名单、三级角色权限、接口限流、日志审计四大能力，全方位筑牢工业视觉系统安全防线。
一、私有化安全核心需求
二、API 网关整体改造方案
采用网关统一代理架构：所有客户端请求先经过网关校验，校验通过后再转发至 TVA 视觉服务，网关作为唯一对外入口。
1. IP 白名单配置（网络层基础防护）
在网关配置 IP 白名单列表，仅厂区上位机、业务服务器、运维电脑 IP 允许访问接口；非白名单 IP 直接拦截，并记录访问日志。
2. 三级角色权限分级（功能层权限防护）
权限与登录账号、Token 相互绑定，网关自动拦截越权接口请求。
3. 接口限流管控
网关配置单 IP QPS 限制，例如设置单 IP 每秒最大 20 次请求，有效保护视觉服务稳定性。
三、网关落地部署步骤（以 Nginx 为例）
四、安全日志审计
网关完整记录每一条请求信息：访问 IP、登录账号、接口地址、请求时间、访问结果，出现异常行为时可快速溯源定位。
