.NET Core环境下如何为Swagger添加访问授权？

你可以通过给Swagger的页面及文档接口添加访问控制，确保只有已登录（携带有效身份凭证）的用户才能访问。下面针对主流技术栈给出具体实现方案：

Spring Boot 实现方式 #

如果你的项目用Spring Security做身份认证，直接在安全配置类中给Swagger相关路径添加认证要求：

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.authorizeHttpRequests(auth -> auth
                // 允许匿名访问的公开接口（按需配置）
                .requestMatchers("/public/**").permitAll()
                // 要求已认证才能访问Swagger相关路径
                .requestMatchers("/swagger-ui/**", "/v3/api-docs/**", "/swagger-resources/**").authenticated()
                // 其他API沿用你已有的角色授权规则
                .anyRequest().hasRole("USER")
        );
        // 保留你已有的认证逻辑（比如表单登录、JWT过滤器等）
        return http.build();
    }
}

如果用JWT认证，还可以在Swagger配置中添加全局Token参数，方便调试时携带凭证：

@Configuration
public class SwaggerConfig {
    @Bean
    public OpenAPI customOpenAPI() {
        return new OpenAPI()
                .components(new Components()
                        .addSecuritySchemes("bearerAuth", new SecurityScheme()
                                .type(SecurityScheme.Type.HTTP)
                                .scheme("bearer")
                                .bearerFormat("JWT")))
                .addSecurityItem(new SecurityRequirement().addList("bearerAuth"));
    }
}

ASP.NET Core 实现方式 #

在Program.cs中给Swagger的路由添加授权要求，同时配置Swagger支持身份凭证：

var builder = WebApplication.CreateBuilder(args);

// 配置Swagger服务，支持JWT认证
builder.Services.AddSwaggerGen(c => {
    c.AddSecurityDefinition("Bearer", new OpenApiSecurityScheme {
        In = ParameterLocation.Header,
        Description = "输入格式：Bearer {Token}",
        Name = "Authorization",
        Type = SecuritySchemeType.Http,
        BearerFormat = "JWT",
        Scheme = "bearer"
    });
    c.AddSecurityRequirement(new OpenApiSecurityRequirement {
        {
            new OpenApiSecurityScheme {
                Reference = new OpenApiReference {
                    Type = ReferenceType.SecurityScheme,
                    Id = "Bearer"
                }
            },
            Array.Empty<string>()
        }
    });
});

// 保留你已有的认证授权配置
builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options => {
        // 你的JWT验证逻辑
    });
builder.Services.AddAuthorization();

var app = builder.Build();

// 生产环境启用Swagger
if (app.Environment.IsProduction()) {
    app.UseSwagger();
    app.UseSwaggerUI();
}

// 先认证再授权的中间件顺序不能乱
app.UseAuthentication();
app.UseAuthorization();

// 给Swagger路由添加授权限制
app.MapSwagger().RequireAuthorization();
app.MapSwaggerUI().RequireAuthorization();

// 其他API接口的路由配置
app.MapControllers().RequireAuthorization();

app.Run();

额外注意事项 #

• 生产环境中建议通过Swagger注解隐藏敏感接口或字段，避免泄露业务细节。
• 如果是基于Cookie的登录，需确保SwaggerUI配置了withCredentials参数，让请求自动携带登录Cookie。
• 还可以进一步细化规则，比如只允许特定角色（如管理员）访问Swagger，而不只是所有登录用户。

内容的提问来源于stack exchange，提问作者Pawan Nogariya