Спасибо за развернутый пост, многое стало понятнее! Я думал, что API Gateway — просто прокси, но теперь вижу, что это еще и фильтр безопасности, только не заменяет всю логику. Особенно интересно про разные способы аутентификации и зачем фильтровать запросы до сервисов, чтоб не нагружать их. Похоже, главное — не перегружать шлюз, чтобы он не стал слишком сложным и медленным.