能否在API Gateway同一自定义域名下为不同网关配置mTLS与API Key认证？

可以实现，核心思路是通过路径路由+分阶段认证配置区分不同API的认证规则，通用实现逻辑如下：

• 先确认自定义域名已绑定到API网关入口层，且网关支持基于路径的路由转发
• 为新的API Key认证API设置独立路径前缀（比如/api-key-service/*），原有mTLS认证API保留原路径（比如/mtls-service/*）
• 在网关配置路由规则，将不同路径的请求转发到对应后端服务
• 针对不同路径配置专属认证策略：
  • 对/mtls-service/*路径启用mTLS认证，保留原有客户端证书校验逻辑
  • 对/api-key-service/*路径启用API Key认证，配置密钥校验逻辑（比如从请求头/查询参数提取API Key并验证有效性）

不同云服务商的具体操作细节有差异，但核心逻辑一致：

• AWS API Gateway：可通过阶段变量+自定义授权器或API映射+不同阶段认证配置实现，将不同路径映射到不同API部署阶段，每个阶段配置独立认证方式
• 阿里云API网关：在自定义域名路由配置中，为不同路径绑定不同API分组，每个分组单独配置认证方式（mTLS或API Key）

需注意部分网关要求入口层先完成基础校验再转发到对应认证规则，要确保路由规则优先级配置正确，避免认证逻辑冲突。

内容的提问来源于stack exchange，提问作者Jack AMALAL