OpenApi Generator生成ApiClient的定制及CodeQL告警相关咨询

1. OpenApi Generator生成ApiClient的流程 #

OpenApi Generator基于你项目中的OpenAPI契约YAML文件，结合指定的客户端生成器（如Java Spring、OkHttp等）完成代码生成。你项目里未找到显式配置，大概率是用了插件的默认逻辑：

• org.openapitools:openapi-generator-cli会读取契约文件，根据指定的生成器类型（比如spring），调用内置模板和规则生成ApiClient.java；
• springdoc-openapi-gradle-plugin主要负责生成OpenAPI契约，若绑定了openapi-generator，也会触发客户端代码生成，相关配置可能隐藏在build.gradle的openapiGenerator任务块中，或是插件默认参数（比如默认生成Spring风格客户端）。

2. ApiClient生成模板的命名 #

默认的ApiClient模板文件名为apiClient.mustache，但它默认内置在openapi-generator的jar包中，所以你在项目里找不到。不同客户端库的模板路径不同，比如：

• Spring RestTemplate的模板在生成器的Java/libraries/resttemplate目录下；
• OkHttp的模板在Java/libraries/okhttp-gson目录下。
  只有当你自定义模板并放在项目指定路径时，才会在项目中看到这个文件。

3. 默认的ApiClient生成逻辑 #

存在默认生成逻辑：

• 不同生成器的默认逻辑略有差异，但多数会生成包含SSL配置的代码，其中可能包含允许禁用SSL证书验证的逻辑（也就是触发CodeQL告警的"接受所有证书"TrustManager）；
• 这个逻辑默认作为可选功能存在（比如通过disableSslVerification参数开启），但部分生成器的默认代码会直接初始化这个不安全的TrustManager，或是提供快捷方法启用它，方便测试场景，但生产环境必须关闭。

4. 定制ApiClient生成逻辑的方法 #

完全可以定制，推荐几种实用方式：

方法1：通过Gradle配置参数禁用不安全代码 #

在build.gradle的openapiGenerator任务中添加configOptions，明确禁用SSL验证相关的不安全逻辑：

openapiGenerator {
    generatorName = "spring"
    inputSpec = "$projectDir/src/main/resources/openapi.yaml"
    outputDir = "$buildDir/generated/openapi"
    configOptions = [
        disableSslVerification: "false",
        useTruststoreConfig: "true"
        // 其他配置根据生成器调整
    ]
}

方法2：自定义模板 #

1. 从org.openapitools:openapi-generator-cli:7.10.0的jar包中提取对应生成器的apiClient.mustache模板（解压jar包即可找到）；
2. 修改模板，删除或注释掉生成"接受所有证书"TrustManager的代码；
3. 在Gradle任务中指定自定义模板路径：

openapiGenerator {
    // 其他配置...
    templateDir = "$projectDir/src/main/resources/openapi-templates"
}

方法3：使用生成器全局参数 #

在生成命令或Gradle配置中添加全局参数，比如--global-property apis=,models=,supportingFiles=ApiClient来只定制ApiClient，或是通过--additional-properties传递更多控制参数。

内容的提问来源于stack exchange，提问作者alchn