TravelAgency.Gateway (src/Gateway/) это единая точка входа в API. Он не хранит данных и не содержит бизнес-логики: принимает запрос, проверяет вход и роль, ограничивает частоту и отправляет запрос в нужный сервис через YARP.

Браузер:  POST /api/v1/bookings   Cookie: access_token=eyJ…
Gateway:  cookie → Authorization: Bearer eyJ…
          маршрут bookings-route, политика RequireAuthenticated: роль Client, проходит
          убрать /api/v1 → POST http://booking-service:8080/bookings
Booking:  201 Created { "id": "…", "status": 0, … }

Без cookie тот же запрос получит 401 прямо на Gateway и до Booking не дойдёт.

Порядок задан в Program.cs и важен: каждый шаг опирается на предыдущие.

Ответы маршрута auth дополнительно проходят через AuthResponseTransformProvider. На login, register и refresh токены из ответа Identity переносятся в cookie, клиент получает { "success": true }. Gateway проверяет ответ Identity: если в ответе 200 или 201 на этих путях нет обоих токенов и сроков в будущем, или токен пришёл в 2xx на другом пути маршрута auth, клиент получает 502 без Set-Cookie, и тело Identity в JS не уходит. Подробно: Вход и сессия.

Полная таблица маршрутов, методов и прав: Публичный API. Коротко:

• 11 маршрутов YARP в appsettings.json (секция ReverseProxy:Routes). Политика доступа задаётся полем AuthorizationPolicy у каждого маршрута.
• При пересечении путей решает Order: catalog-wizard-route (-1) раньше публичного GET каталога, поэтому гость на /catalog/manage/** получает 401; chat-hub-route (0) раньше chat-route (1); маршруты media/files и media/manage (0) раньше общего media-route (100).
• Преобразование пути: у большинства маршрутов убирается /api/v1; у auth-route убирается /api/v1/auth и добавляется /identity; у chat-hub-route убирается /api/v1/chat.
• Кластеры: identity-cluster, catalog-cluster, booking-cluster, chat-cluster, media-cluster. В Docker адреса http://<имя>-service:8080, в Development http://localhost:5010 ... 5050.

Имена политик и ролей общие для всех сервисов (TravelAgency.Shared.Contracts). Gateway проверяет только роль; права на конкретный объект (своя заявка, свой тур) проверяет сервис.

Проверяются подпись (ключ JwtSettings__SigningKey, не короче 32 символов), Issuer = TravelAgency.Identity, Audience = TravelAgency и срок жизни. Без ключа Gateway не запускается.

Встроенный RateLimiter ASP.NET Core с глобальным разбиением по IP клиента:

Если задана строка ConnectionStrings__Redis (на dev задана), счётчики хранятся в Redis (RedisFixedWindowRateLimiter) и общие для всех экземпляров Gateway. Если Redis недоступен и RateLimiting:FailOpen = true (по умолчанию), запросы пропускаются. Без Redis счётчики в памяти процесса.

Лимит на вход задаётся только RateLimiting:Auth:Limit (по умолчанию 5) и RateLimiting:Auth:PeriodSeconds (по умолчанию 1). В appsettings.json явно заданы 5 запросов и окно в 1 секунду, поэтому так же работает dev и локальный Docker. Шестой POST /api/v1/auth/login в этом окне получает 429.

Фронтенд при 429 показывает под формой входа «Слишком много попыток входа. Подождите немного и попробуйте снова.». Введённая почта остаётся, пароль очищается, кнопка «Войти» снова доступна, следующая попытка уходит обычным запросом. Неверный пароль и недоступность сервиса показываются как раньше. Сужение доверенных прокси для X-Forwarded-For (сейчас доверены все частные сети): задача #32.

Разрешённые origin задаются Cors:AllowedOrigins. На сервере это https://<SITE_DOMAIN> (через Cors__AllowedOrigins__0 в compose), в Development http://localhost:3000 и http://localhost:5173. Значение по умолчанию в appsettings.json заглушка и на dev переопределяется. Разрешены методы GET, POST, PUT, PATCH, DELETE, OPTIONS, заголовки Authorization, Content-Type, Accept, X-Correlation-Id, X-Request-ID, Cache-Control, и передача cookie.

• GET /health/live: процесс жив, зависимости не проверяются.
• GET /health/ready: Gateway запрашивает /health/live каждого сервиса (таймаут 5 секунд). Ответ Healthy, если все ответили 2xx, иначе Degraded. Снаружи этот ответ виден как /healthz на nginx.

Serilog с {CorrelationId} в шаблоне строки, OpenTelemetry (инструментация ASP.NET Core и HttpClient), сервис регистрируется как TravelAgency.Gateway.

См. также: Архитектура · Публичный API