我们现在可以看一下API怎么跟SCF结合使用。其实很简单，前面是API网关做一个触发器。用触发器的形式来触发SCF后端的函数。然后SCF做一些计算处理，结束后它可能落到后边的像数据库这些服务，在图中的没有画出来。这种方式现在APP，小程序都是很常用的，包括给第三方合作伙伴，就是它们直接提供API给第三方合作伙伴，不走任何的平台，这种都是非常常用的一种方式。
安全与限流，刚刚在我们整个功能里其实有做了一个简单的说明。这里分几块说：第一，我们提供认证能力。认证的能力像密钥对是现在常用的认证方式，我们在网关上生成密钥对，把这个提供给调用者。这个密钥对常用是服务器端对服务器端。也有像用OAuth这种单点登录，客户有自己认证服务器的，我们也是支持的，可以去用API网关对接认证服务器。认证服务器去对调用做认证鉴权，然后我们在做一些校验。这是对整个认证管理做一个安全性的保障。
其实还有刚才说的源IP黑白名单。这个常见于大家内部用的，比如我是一个大的公司，内部几个部门之间用。另外限流的部分，当后端业务能承载的QPS有限的时候，在API这边做一个限流控制，如果超过这个QPS，就把这个调用丢掉，后端不会过载。
CORS，现在跨域的调用非常多的，比如电商，还有一些WEB页，像CSS、JS静态调用，访问时需要浏览器跨域调用。当请求是跨域请求时，API网关会根据发布者的配置做一些处理，比如配置支持跨域，API网关会把这个CORS头去。直接响应回来后我们再把CORS头放回响应中。这完成的是跨域调用。这样的话其实对SCF开发者会比较方便使用，就不用再操心跨域的问题。
响应集成这种也是常见的使用，用户开发小程序时的场景也是响应集成可能比较常用到。比如在对接前面的接口时，需要把SCF抽取成真正的HTTP格式请求返回给前端。API网关与SCF之间同样为HTTP请求，SCF函数返回的响应在响应透传模式时，会被全部放进API网关的响应body中，返回给调用者。这样的话可以直接对接很多已经有一些规范，已经有一些接口的，像小程序这种，会不适用这种方式。那么就需要API网关把SCF的响应抽取为一个标准HTTP的respond返回个标准接口。
Websocket能力算是在函数计算里的一个难点，因为本身函数不是常驻的，比如说这个函数跑一跑，在没有触发的时候，可能有一个时间段过去后，目前的资源就释放掉了，下次再触发的时候再拉起来，这很难跟前端保持长连接。那我们怎么帮SCF处理长连接问题的呢？API网关会帮每一个前端的调用者生成一个唯一的ID，这个ID就注册到后面客户的业务函数里。当客户业务函数需要推送的时候，他只要带到这个唯一ID给API网关，API网关就会将这个唯一ID的消息丢给前端，这样我们唯一ID和前面的连接保持了长连接，也保证了后端推送的正确性。举个例子，一个聊天室，有三个人聊天，范冰冰，李晨和黄晓明。他们三个都有唯一ID。黄晓明发出来一句话，后面的函数收到这句话，并且要把他说的话推送给范冰冰和李晨，那么通过唯一ID，可以识别到三个人，后端业务将黄晓明ID的聊天语句推送到API网关，告诉API网关要将此信息推送给范冰冰和李晨ID的前端，API网关收到信息后，则将此信息推送到与范冰冰李晨的客户端保持的长连接中，他们就看到了这条信息。这就是处理Websocket长连接的方式。
