API Gateway คืออะไร? สร้างประตูจำลองด้วย Node.js ลองเช็กคีย์ จำกัดจำนวน และชี้ทาง

แอปส่วนใหญ่ไม่ได้คุยกับเซิร์ฟเวอร์ตัวเดียว เบื้องหลังมีทั้งบริการผู้ใช้ เมนู ออเดอร์ จ่ายเงิน และแจ้งเตือน ถ้าแอปต้องจำที่อยู่ของทุกตัว และทุกตัวต้องเช็กคีย์เองกันคนยิงรัวเอง ระบบจะยุ่งและพลาดง่ายมาก API Gateway คือคำตอบของปัญหานี้ เป็นประตูบานเดียวที่ตั้งไว้หน้าบริการทั้งหมด

บทความนี้เริ่มจากศูนย์ ตั้งแต่ API คืออะไร Gateway ทำอะไรทีละด่าน แล้วลงมือสร้างประตูจำลองในเครื่องตัวเองด้วย Node.js ไม่ต้องติดตั้งไลบรารีเพิ่ม ไม่ต้องสมัครบริการไหน แล้วลองยิงคำขอจนเห็นรหัส 200, 401, 429, 404 และ 502 ด้วยตาตัวเอง

จบบทความนี้คุณจะ:

• อธิบายได้ว่า API คืออะไร และคำขอกับคำตอบหน้าตาเป็นยังไง
• รู้ว่า API Gateway ทำหน้าที่อะไร และเมื่อไรถึงคุ้มที่จะมี
• เข้าใจสามด่านหลักของประตู คือเช็กบัตร จำกัดจำนวน และชี้ทาง
• สร้างบริการหลังบ้านกับประตูจำลองด้วย Node.js แล้วยิงคำขอทดสอบได้เอง
• แก้ค่าในประตูเอง และรู้จัก Gateway ตัวจริงอย่าง Amazon API Gateway กับ Kong

API คืออะไร

API คือช่องทางที่โปรแกรมหนึ่งใช้ขอข้อมูลหรือสั่งงานอีกโปรแกรม นึกถึงการสั่งอาหารผ่านพนักงานครับ เราไม่ต้องเข้าครัวเอง แค่บอกว่าอยากได้อะไร แล้วรอของมา

หน้าตาของคำขอกับคำตอบจริงๆ เป็นแบบนี้

GET /menu
x-api-key: devkub-123

200 OK
{ "name": "ข้าวมันไก่", "price": 50 }

• GET คือ "ขอดู"
• /menu คือ path บอกว่าขออะไร
• x-api-key คือ header ที่แนบไปด้วย ในที่นี้คือคีย์ยืนยันตัว
• 200 คือรหัสบอกผล ตัวเลขขึ้นต้นด้วย 2 แปลว่าสำเร็จ ขึ้นต้นด้วย 4 แปลว่าฝั่งคนขอผิด และขึ้นต้นด้วย 5 แปลว่าฝั่งเซิร์ฟเวอร์มีปัญหา (อ่านเรื่องรหัสสถานะแบบละเอียดได้ในบทความ HTTP status code)

สรุปสั้นๆ API ก็คือเมนูที่บอกว่าขออะไรได้บ้าง และต้องขอยังไง

ศัพท์ที่ต้องรู้

รหัสสถานะที่จะได้เห็นในแล็บนี้มี 5 ตัว

API Gateway คืออะไร

API Gateway คือโปรแกรมที่ตั้งไว้ด้านหน้าบริการทั้งหมด คำขอทุกอันต้องเข้าที่นี่ก่อน แล้วมันส่งต่อให้บริการที่ถูกต้อง หน้าเว็บของ Amazon API Gateway อธิบายว่า API เป็นเหมือน "front door" ของแอป คือประตูหน้าที่ทุกคนต้องผ่าน

โปรเจกต์เล็กยังไม่ต้องมีก็ได้ ถ้ามีเซิร์ฟเวอร์ตัวเดียว Gateway อาจเป็นภาระเกินจำเป็น มันเริ่มคุ้มเมื่อมีหลายบริการ หรือเมื่อเปิด API ให้คนนอกใช้

สามด่านทำงานยังไง

คำขอหนึ่งอันเดินผ่านประตูแบบนี้

1. แอปส่งคำขอมาที่ประตู เช่น GET /menu พร้อม header x-api-key
2. ด่าน 1 เช็กบัตร (authentication) ดูว่ามีคีย์และคีย์ถูกไหม ไม่ผ่านตอบ 401 ทันที ไม่ไปถึงห้องเลย
3. ด่าน 2 จำกัดจำนวน (rate limiting) นับว่าคีย์นี้ขอมากี่ครั้งในช่วงเวลาหนึ่ง เกินลิมิตตอบ 429 ให้รอก่อน กันระบบล่มจากคนยิงรัว
4. ด่าน 3 ชี้ทาง (routing) ดู path แล้วเปิดตารางว่าต้องไปห้องไหน /menu ไปห้องเมนู /pay ไปห้องจ่ายเงิน ไม่มีในตารางตอบ 404
5. ส่งต่อแล้วรับคำตอบกลับ ประตูส่งคำขอให้ห้อง รอคำตอบ แล้วยื่นคืนให้แอป แอปไม่ต้องรู้เลยว่าห้องอยู่ตรงไหน

ทำไมต้องเช็กบัตรก่อน เพราะคำขอที่ไม่มีบัตรไม่ควรเปลืองแรงนับหรือส่งต่อ ตีกลับได้เร็วที่สุดยิ่งดี ของจริงยังทำอย่างอื่นได้อีก เช่น เก็บ log แคชคำตอบ หรือแปลงรูปแบบข้อมูล แต่สามด่านนี้คือหัวใจที่ช่วยให้เห็นภาพรวม

รหัสอาจต่างกันในแต่ละบริการ 401 และ 429 เป็นรหัส HTTP มาตรฐาน (401 อยู่ใน RFC 9110 และ 429 อยู่ใน RFC 6585) แต่แต่ละบริการตั้งได้ต่างกัน เช่น บางเจ้าตอบ 403 ตอนคีย์ผิด ให้ดูเอกสารของเจ้าที่ใช้

เตรียมเครื่อง

แล็บนี้ใช้ได้ทั้ง Windows และ macOS ต้องมีแค่ 2 อย่าง

1. Node.js เข้า nodejs.org โหลดรุ่น LTS แล้วติดตั้งตามปกติ (Windows ใช้ไฟล์ .msi ส่วน macOS ใช้ไฟล์ .pkg) จากนั้นปิดแล้วเปิดหน้าต่างคำสั่งใหม่ เช็กด้วย

node -v

v26.x.x

เลขรุ่นต่างไปได้ ขอแค่ขึ้นเลข ณ ต.ค. 2026 รุ่น LTS ล่าสุดคือ v26

2. curl ตัวยิงคำขอ มีมาในเครื่องอยู่แล้วทั้ง Windows 10/11 และ macOS

curl.exe --version

curl --version

curl 8.x.x ...

บน Windows PowerShell ให้พิมพ์ curl.exe เสมอ ใน Windows PowerShell 5.1 คำว่า curl เฉยๆ คือชื่อเล่นของคำสั่งอื่น (Invoke-WebRequest) ที่รับตัวเลือกไม่เหมือนกัน พิมพ์ curl.exe จะได้ curl ตัวจริงเสมอ

สุดท้ายสร้างโฟลเดอร์ฝึก

mkdir gateway-lab
cd gateway-lab

เปิดโฟลเดอร์นี้ด้วยโปรแกรมแก้ไขข้อความ เช่น VS Code, Notepad หรือ TextEdit (ตั้งเป็น Plain text) แล้วบันทึกไฟล์เป็น UTF-8 ทุกครั้ง

สร้างห้องหลังบ้าน

ไฟล์แรกเปิดห้อง 3 ห้องที่พอร์ต 4001, 4002 และ 4003 แต่ละห้องตอบ JSON ของตัวเอง ใช้แค่โมดูล http ที่มากับ Node.js ไม่ต้องติดตั้งอะไรเพิ่ม

// ห้องหลังบ้าน 3 ห้อง: เมนู ออเดอร์ จ่ายเงิน
const http = require('http');
const room = (port, data) =>
  http.createServer((req, res) => {
    res.writeHead(200, {'Content-Type': 'application/json; charset=utf-8'});
    res.end(JSON.stringify(data));
  }).listen(port, () => console.log('ห้องพร้อมที่พอร์ต', port));
 
room(4001, {room: 'menu', items: [{name: 'ข้าวมันไก่', price: 50}]});
room(4002, {room: 'orders', orders: []});
room(4003, {room: 'pay', status: 'ready'});

node services.js

ห้องพร้อมที่พอร์ต 4001
ห้องพร้อมที่พอร์ต 4002
ห้องพร้อมที่พอร์ต 4003

เห็นสามบรรทัดนี้แปลว่าห้องเปิดแล้ว ปล่อยหน้าต่างนี้ไว้ อย่าปิด ในระบบจริงแต่ละห้องคือบริการแยกกัน อาจอยู่คนละเครื่อง ในแล็บเราจำลองด้วยการใช้คนละพอร์ต

สร้างประตู

ไฟล์ที่สองคือตัวประตู มีครบทั้งสามด่าน

// ประตูหน้า: เช็กบัตร -> จำกัดจำนวน -> ชี้ทาง
const http = require('http');
 
const KEY = 'devkub-123';    // คีย์ที่ยอมให้ผ่าน
const LIMIT = 5;             // ได้กี่ครั้ง
const WINDOW_MS = 10000;     // ต่อกี่มิลลิวินาที (10 วินาที)
const ROUTES = {             // path -> ห้องไหน
  '/menu': 4001,
  '/orders': 4002,
  '/pay': 4003,
};
const hits = {};             // นับคำขอของแต่ละคีย์
 
http.createServer((req, res) => {
  const send = (code, body) => {
    res.writeHead(code, {'Content-Type': 'application/json; charset=utf-8'});
    res.end(JSON.stringify(body));
    console.log(req.method, req.url, '->', code);
  };
 
  // ด่าน 1 เช็กบัตร
  const key = req.headers['x-api-key'];
  if (key !== KEY) return send(401, {error: 'ไม่มีคีย์ หรือคีย์ผิด'});
 
  // ด่าน 2 จำกัดจำนวน
  const now = Date.now();
  hits[key] = (hits[key] || []).filter((t) => now - t < WINDOW_MS);
  if (hits[key].length >= LIMIT) return send(429, {error: 'รัวเกินไป รอก่อน'});
  hits[key].push(now);
 
  // ด่าน 3 ชี้ทาง
  const port = ROUTES[req.url];
  if (!port) return send(404, {error: 'ไม่มีห้องนี้'});
 
  http.get({port, path: '/'}, (r) => {
    let data = '';
    r.on('data', (c) => (data += c));
    r.on('end', () => send(r.statusCode, JSON.parse(data)));
  }).on('error', () => send(502, {error: 'ห้องหลังบ้านไม่ตอบ'}));
}).listen(3000, () => console.log('ประตูเปิดที่ http://localhost:3000'));

เปิดหน้าต่างคำสั่งใหม่ เข้าโฟลเดอร์ gateway-lab ก่อน แล้วรันประตู

node gateway.js

ประตูเปิดที่ http://localhost:3000

อ่านโค้ดประตูทีละส่วน

ประตูนี้ไว้เรียนเท่านั้น ตัวนับเก็บในหน่วยความจำ ปิดโปรแกรมแล้วก็หาย และไม่มี HTTPS ห้ามเอาไปใช้กับระบบจริง ระบบจริงใช้ Gateway สำเร็จรูปในหัวข้อของจริงที่ใช้กัน ลองคิดดูว่าถ้าลบด่าน 1 ทิ้ง ใครก็เดินเข้าห้องจ่ายเงินได้ นี่คือเหตุผลที่ต้องเช็กบัตรที่ประตู

ลองยิงคำขอผ่านสามด่าน

เปิดหน้าต่างที่ 3 ไว้ยิงคำขอ คำสั่งด้านล่างเขียนสำหรับ Windows PowerShell ถ้าใช้ macOS ให้พิมพ์ curl แทน curl.exe

1) ไม่มีบัตร

curl.exe -i http://localhost:3000/menu

HTTP/1.1 401 Unauthorized
...
{"error":"ไม่มีคีย์ หรือคีย์ผิด"}

2) มีบัตร ขอเมนู

curl.exe -H "x-api-key: devkub-123" http://localhost:3000/menu

{"room":"menu","items":[{"name":"ข้าวมันไก่","price":50}]}

3) ชี้ทางไปห้องจ่ายเงิน

curl.exe -H "x-api-key: devkub-123" http://localhost:3000/pay

{"room":"pay","status":"ready"}

4) ห้องที่ไม่มี

curl.exe -H "x-api-key: devkub-123" http://localhost:3000/abc

{"error":"ไม่มีห้องนี้"}

5) ยิงรัว 6 ครั้ง ดูด่านจำกัดจำนวนทำงาน

for ($i=1; $i -le 6; $i++) { curl.exe -s -o NUL -w "%{http_code} " -H "x-api-key: devkub-123" http://localhost:3000/orders }

for i in 1 2 3 4 5 6; do curl -s -o /dev/null -w "%{http_code} " -H "x-api-key: devkub-123" http://localhost:3000/orders; done

200 200 429 429 429 429

ทำไมผ่านแค่ 2 ครั้ง เพราะข้อ 2–4 ใช้โควตาไปแล้ว 3 ครั้ง (ข้อ 4 ที่ได้ 404 ก็นับ เพราะผ่านด่าน 2 มาก่อนถึงด่าน 3) รวมเป็น 5 ครั้งใน 10 วินาทีพอดี ส่วนข้อ 1 ที่ได้ 401 ไม่ถูกนับ เพราะโดนตีกลับตั้งแต่ด่านแรก ถ้าทำช้ากว่า 10 วินาที ตัวเลขอาจต่างไปเล็กน้อย รอ 10 วินาทีแล้วยิงใหม่จะได้ 200 อีกครั้ง

กลับไปดูหน้าต่างที่ 2 จะเห็น log ของทุกคำขอ

GET /menu -> 401
GET /menu -> 200
GET /pay -> 200
GET /abc -> 404
GET /orders -> 200
GET /orders -> 200
GET /orders -> 429
...

แบบฝึกและแก้ปัญหา

แก้ไฟล์แล้วต้องหยุดโปรแกรมด้วย Ctrl + C แล้วรันใหม่ทุกครั้ง

ข้อ 5 คือข้อดีของประตูที่เห็นชัดที่สุด ห้องย้ายที่ได้โดยแอปไม่ต้องรู้เรื่องเลย

ถ้าเจอปัญหา ดูตารางนี้

เลิกแล้วกด Ctrl + C ในหน้าต่างที่ 1 และ 2 แล้วลบโฟลเดอร์ gateway-lab ได้เลย ไม่มีอะไรค้างในเครื่อง

ของจริงที่ใช้กัน

ระบบจริงไม่เขียนประตูเอง แต่ใช้ Gateway สำเร็จรูปที่ทำสามด่านนี้ได้ดีกว่ามาก พร้อม HTTPS, log และฟีเจอร์อื่นๆ สองตัวที่ใช้กันแพร่หลายคือ

ข้อมูลในตารางมาจากหน้าเว็บทางการ ณ ต.ค. 2026 เรายังไม่ได้ติดตั้ง Kong หรือเปิด Amazon API Gateway ลองเอง ราคาและฟีเจอร์ให้เชื่อหน้าเว็บ ณ วันที่คุณอ่าน

สรุป

• API คือการส่งคำขอ (method + path + header) แล้วได้คำตอบ (รหัสสถานะ + JSON)
• API Gateway คือประตูบานเดียวหน้าบริการทั้งหมด แอปรู้แค่ที่อยู่เดียว
• ด่าน 1 เช็กบัตร ไม่ผ่านได้ 401 ด่าน 2 จำกัดจำนวน เกินได้ 429 ด่าน 3 ชี้ทาง ไม่มีห้องได้ 404
• ประตูส่งต่อแล้วห้องไม่ตอบได้ 502
• โปรเจกต์เล็กเซิร์ฟเวอร์เดียวยังไม่จำเป็นต้องมี Gateway มันคุ้มเมื่อมีหลายบริการหรือเปิด API ให้คนนอก

อ่านต่อจากหน้าทางการ

• Amazon API Gateway
• Kong Gateway
• Node.js

พร้อมแล้วก็ไปทำ Quiz ท้ายบทด้านล่างเพื่อรับ XP ได้เลยครับ