使用Swagger UI时如何保护OpenAPI描述URL？

1. 利用Swagger UI的requestInterceptor钩子中止未认证请求 #

Swagger UI提供的requestInterceptor可以在请求发送前介入，你可以在这里检查用户认证状态（比如本地存储的token、会话标识等），若未认证则直接抛出错误或返回被拒绝的Promise来中止请求：

const ui = SwaggerUIBundle({
  url: "/your-openapi-spec.json",
  dom_id: '#swagger-ui',
  requestInterceptor: (request) => {
    // 示例：检查本地是否存在认证token
    const isAuthenticated = localStorage.getItem('authToken') !== null;
    if (!isAuthenticated) {
      alert('请先完成认证');
      return Promise.reject(new Error('未认证，请求中止'));
    }
    return request;
  },
  // 其他Swagger UI配置项
});

2. 通过OpenAPI规范定义安全要求（推荐配置化方式） #

直接在你的OpenAPI文档中添加全局或接口级的安全约束，Swagger UI会自动识别并强制用户先完成认证才能发送请求，完全无需额外编写逻辑：

示例（Basic Auth）： #

openapi: 3.0.0
info:
  title: 你的API文档
  version: 1.0.0
# 定义安全认证方案
components:
  securitySchemes:
    BasicAuth:
      type: http
      scheme: basic
# 全局启用安全校验
security:
  - BasicAuth: []

配置后Swagger UI顶部会显示「Authorize」按钮，用户必须输入凭证完成认证，否则无法发起任何请求。

示例（Bearer Token）： #

components:
  securitySchemes:
    BearerAuth:
      type: http
      scheme: bearer
security:
  - BearerAuth: []

这种纯配置的方式完全符合你想要的简便性需求，无需维护额外的中间件匹配逻辑。

3. 与Lambda中间件方案的对比 #

你提到的Lambda中间件是服务端层面的安全兜底，虽然可靠但需要维护URL匹配逻辑。上面两种方式更轻量化：

• 若需严格的服务端校验，Lambda中间件可作为兜底方案；
• 若只是在Swagger UI层面限制未认证用户发起请求，配置OpenAPI安全要求或使用requestInterceptor足够满足需求。

内容的提问来源于stack exchange，提问作者Luis Abreu