Azure API Management：如何限制Postman访问我的API？

为什么Postman仍能访问你的API？ #

1. CORS规则无法限制非浏览器客户端 #

CORS是浏览器专属的安全机制，仅作用于浏览器的跨域请求拦截，Postman、curl这类非浏览器工具完全不遵循CORS规范。服务器收到Postman的请求时，不会因CORS规则拒绝响应，所以设置CORS拦不住Postman。

2. Azure Function的IP限制未正确生效 #

若你设置了仅允许APIP的IP访问Function，但Postman仍能直接调用Function端点，大概率是以下原因：

• 配置的APIM IP不完整：APIM的出站IP通常是一组地址，漏加的话，Postman若从允许的IP段发起请求就会被通过；
• 测试时直接访问了Function原始端点：如果Function的端点未完全隐藏，用户（或Postman）可绕过APIM直接访问；
• IP限制规则配置错误：比如规则优先级、范围设置有误，导致限制未实际生效。

有效限制Postman访问的方案 #

1. 给Azure Function启用身份验证（Azure AD） #

直接用Azure AD保护Function接口：

• 在Azure Portal进入你的Function App的「Authentication」设置，启用Azure AD作为身份提供者；
• 配置仅允许你的Web应用作为合法客户端，只有携带有效Azure AD访问令牌的请求才能访问Function；
• 你的Web应用调用Function前，需从Azure AD获取访问令牌并放在请求的Authorization头中（格式为Bearer <token>）。Postman没有合法令牌，就无法通过验证。

2. 强制请求走APIM+APIM层验证 #

• 完善Function的IP限制：把APIM实例的所有出站IP地址（包括区域内备用IP）添加到Function的IP允许列表，确保只有APIM能直接访问Function；
• APIM层添加身份验证：在APIM中配置客户端凭证验证（比如API密钥、Azure AD令牌），只有你的Web应用能提供合法凭证，才能通过APIM访问Function；
• 隐藏Function原始端点：不对外暴露Function的直接访问地址，仅通过APIM的域名对外提供服务。

3. 从根源避免前端接触凭据 #

你的核心需求是隐藏凭据在前端，更稳妥的做法是不让前端直接获取凭据：

• 让Web应用的后端服务器（或APIM）作为中间层，由后端调用Azure Function获取凭据，再用该凭据调用目标服务；
• 前端只调用后端的业务接口，不直接与Azure Function或目标服务交互。这样前端全程不会接触敏感的用户名密码，彻底消除泄露风险。

内容的提问来源于stack exchange，提问作者Ziggy