Azure APIM内部模式下如何为SPA后端API提供服务？

我正在遵循微软文档中的步骤，该文档使用APIM为SPA Web应用的后端API提供服务。步骤14和15要求打开APIM实例并记录概览页中的Private VIP，而带有Private VIP的APIM必然处于内部模式。但我了解到配置为内部模式的APIM仅可通过虚拟网络内的私有IP访问，无法从公网访问。然而文档中的图示显示后端收到的HTTP请求来自公网（步骤3），这让我疑惑：内部模式的APIM如何按文档所述为后端API提供服务？我是否误解了基础概念？

• 你没误解内部模式APIM的核心限制：内部模式APIM确实只能在虚拟网络（VNet）内部被访问，无法直接接收公网流量。但文档图示里的“后端收到公网请求”指的是请求发起源是公网的SPA，而非公网流量直接直达内部APIM，完整链路应该是：公网SPA → 公网可访问的入口组件（比如Azure应用网关、Front Door） → VNet内部的APIM → 后端API。
• 内部模式APIM的作用是让后端API完全隐藏在VNet内，不直接暴露公网，而前端流量通过合规的公网入口进入VNet后，再路由到内部APIM，这样既满足了APIM的安全隔离要求，又能让公网的SPA正常调用后端API。
• 文档里要求记录Private VIP，是因为后端API（比如Azure Function）需要配置允许来自该私有IP的流量，确保只有经过APIM的请求才能访问后端，进一步强化安全边界。

内容的提问来源于stack exchange，提问作者Kid_Learning_C