Azure SWA含参数路由的角色权限配置难题

针对你遇到的SWA路由通配符仅支持在末尾使用，导致/api/product/*/delete这类带中间GUID参数的删除端点权限配置失效的问题，给你两个可行的解决思路：

1. 在API代码层直接校验角色权限 #

SWA会将用户的身份信息通过请求头x-ms-client-principal传递给API，你可以在删除接口的代码里解析这个头，判断用户是否拥有admin角色，非admin直接返回403。

以Node.js API为例，代码示例：

module.exports = async function (context, req) {
  // 提取并解析用户主体信息
  const clientPrincipal = req.headers['x-ms-client-principal'];
  if (!clientPrincipal) {
    context.res = { status: 401, body: '未授权' };
    return;
  }

  const decodedInfo = Buffer.from(clientPrincipal, 'base64').toString('utf8');
  const { roles } = JSON.parse(decodedInfo);

  // 校验admin角色
  if (!roles.includes('admin')) {
    context.res = { status: 403, body: '禁止访问：仅管理员可删除产品' };
    return;
  }

  // 执行产品删除逻辑
  // ...
};

这种方式不需要调整现有路由结构，直接在业务代码里做权限拦截，适配所有带参数的路由场景。

2. 调整API路由结构，适配SWA的通配符规则 #

把参数放到路由末尾，让通配符能正常匹配。比如将删除路由改为/api/product/delete/{productGuid}，对应的SWA配置修改为：

{
  "route": "/api/product/delete/*",
  "allowedRoles": ["admin"]
},
{
  "route": "/api/product",
  "allowedRoles": ["admin", "nonadmin"]
}

同时需要前端将删除请求的URL从/api/product/{guid}/delete调整为/api/product/delete/{guid}，这样就能通过SWA的路由配置直接控制权限，无需在代码里额外校验。

内容的提问来源于stack exchange，提问作者Hawkzey