Gateway
位于客户端与后端服务之间的中间层，负责请求路由、认证、限流和配额管理等横切关注点
核心事实
时间轴 (近 90 天)
MCP让工具接入变简单，但接入只是起点；真正的安全边界在Gateway的逐次校验里，而不是在“连接成功”那一刻。
Doordash的实践表明，AI agent能连接MCP server并不代表能调用该服务器上的所有工具，Gateway会对逐个请求做权限校验。
把权限决策收敛到Gateway带来三个好处：改权限或收回权限只需改一处；Dev agent不必把安全规则塞进prompt；工具所有者不必重写授权逻辑。
调用方身份会随请求穿越整个链路：从路由转发、usage记录，一直到最终执行的动作，从而实现可追溯。
有些workflow以团队身份运行，有稳定的权限边界；而个人的单独操作则需要本人明确授权。
Gateway的策略引擎会综合多个维度做权限判断：是哪个agent、代表哪个用户、调用哪个工具、请求处在什么环境。
Gateway在每次工具调用时需回答两个问题：Authentication（认证）解决“谁在调用”，Authorization（授权）解决“该调用方被允许做什么”。
网关是编排层的一部分，但不是安全边界本身；把网关当作唯一防线，等于假设所有调用都会经过网关。
许多Agent框架将网关设计为安全中枢，负责鉴权、审计和限流，但在子代理、多框架混用和自托管运行时场景下，网关的覆盖范围变得脆弱。
运行时安全能否保护能绕过网关的Agent，取决于其定义：若只是网关里的策略代码则保护不了；若是覆盖凭证管理、网络隔离、令牌签发的纵深体系则可以兜底。
还有 7 条时间轴事件
全部知识事实 (20)
AI网关集中承担统一入口与路由、访问控制与身份治理、合规与审计留痕、成本与用量可观测等职责
75%已验证Claude Code 中的 Gateway 充当 API 网关角色，是用户配置和管理不同 AI 模型接口的统一入口
65%待验证芋道Cloud模块间通过Feign进行服务调用，结合Gateway实现统一网关路由
90%待验证OpenClaw的Dashboard只是前端展示层，真正的业务逻辑全部由Gateway驱动
90%待验证OpenClaw的Gateway是一个本地运行的RPC服务器，负责将来自飞书、钉钉等渠道的消息请求统一接收，再调度给底层的AI模型和工具插件处理
85%待验证openclaw gateway 命令用于前台启动OpenClaw的Gateway网关服务
55%待验证MCP让工具接入变简单，但接入只是起点；真正的安全边界在Gateway的逐次校验里，而不是在“连接成功”那一刻。
50%待验证Doordash的实践表明，AI agent能连接MCP server并不代表能调用该服务器上的所有工具，Gateway会对逐个请求做权限校验。
50%待验证Gateway在每次工具调用时需回答两个问题：Authentication（认证）解决“谁在调用”，Authorization（授权）解决“该调用方被允许做什么”。
50%待验证Gateway的策略引擎会综合多个维度做权限判断：是哪个agent、代表哪个用户、调用哪个工具、请求处在什么环境。
50%待验证有些workflow以团队身份运行，有稳定的权限边界；而个人的单独操作则需要本人明确授权。
50%待验证调用方身份会随请求穿越整个链路：从路由转发、usage记录，一直到最终执行的动作，从而实现可追溯。
50%待验证把权限决策收敛到Gateway带来三个好处：改权限或收回权限只需改一处；Dev agent不必把安全规则塞进prompt；工具所有者不必重写授权逻辑。
50%待验证网关是编排层的一部分，但不是安全边界本身；把网关当作唯一防线，等于假设所有调用都会经过网关。
50%待验证运行时安全能否保护能绕过网关的Agent，取决于其定义：若只是网关里的策略代码则保护不了；若是覆盖凭证管理、网络隔离、令牌签发的纵深体系则可以兜底。
50%待验证许多Agent框架将网关设计为安全中枢，负责鉴权、审计和限流，但在子代理、多框架混用和自托管运行时场景下，网关的覆盖范围变得脆弱。
50%待验证Gateway 保持原有的字符串和 JSON 请求格式，会拒绝文件类型的输入，TypeSafe AI 也采取相同策略
50%待验证Agent 的读操作可以放开，但每一条写路径都必须绑定真实用户的权限校验
50%待验证对智能体的治理必须对每一次工具调用、每一次数据访问实施细粒度的策略拦截
50%待验证网关式治理把安全、合规、可观测从事后补救变成事中拦截
50%