Azure API Management单个操作如何绕过订阅密钥验证

可以通过Azure API管理的入站策略实现单个操作跳过订阅密钥验证，同时保留其他操作的安全性，无需依赖全局设置变更。

你之前尝试的问题分析 #

你给出的两种策略配置无法生效的核心原因是：API级别订阅密钥验证会在自定义策略执行前（或通过<base />调用）触发，导致无密钥请求在进入你的自定义逻辑前就被拦截。

正确的配置方案 #

在目标操作的入站策略中添加<validate-subscription-key>策略并设置action="skip"，即可跳过当前操作的订阅密钥验证，其他操作仍会遵循API级别的验证要求：

<inbound>
    <!-- 跳过当前操作的订阅密钥验证 -->
    <validate-subscription-key action="skip" />
    <base />
</inbound>

补充说明 #

• 该策略仅作用于配置它的单个操作，不会影响API内的其他操作。
• 如果需要同时支持“带密钥访问”和“无密钥访问”，此配置完全适用——无论请求是否携带订阅密钥，都会被允许通过。
• 若需对无密钥请求添加额外验证（比如IP限制、JWT验证），可以在<validate-subscription-key>后追加对应的策略逻辑。

内容的提问来源于stack exchange，提问作者Riley Cohen