不同API Gateway阶段能否配置不同数量的资源？

API 探路者

2026-7-29

问题解答

可以实现，但不能直接通过创建新阶段的方式达成——因为AWS API Gateway的**阶段（Stage）是绑定到部署（Deployment）**的，而部署会包含当前API的所有资源和方法，所以直接基于现有dev阶段的部署创建新阶段，必然会带上所有端点。

下面是几种可行的实现方案：

方案一：拆分独立API
把需要单独暴露的方法抽离到一个全新的API中，然后为这个新API创建“partial”阶段。这种方式权限和部署完全隔离，管理起来最清晰，但需要维护两个独立的API资源。
方案二：利用阶段资源策略限制访问
这是最快捷的方式，不需要拆分API，步骤如下：
1. 基于现有API创建一个新的部署，绑定到“partial”阶段（此时阶段会包含所有端点，但我们通过策略限制访问）；
2. 给“partial”阶段添加资源策略，仅允许访问目标方法，拒绝其他所有请求。示例策略如下：
```
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": "execute-api:Invoke",
      "Resource": "arn:aws:execute-api:你的区域:你的账号ID:你的API ID/partial/GET/目标方法的路径"
    },
    {
      "Effect": "Deny",
      "Principal": "*",
      "Action": "execute-api:Invoke",
      "Resource": "arn:aws:execute-api:你的区域:你的账号ID:你的API ID/partial/*/*"
    }
  ]
}
```
注意策略顺序：允许规则要放在拒绝规则前面，因为API Gateway资源策略会优先匹配先定义的规则。
方案三：使用Lambda授权器做细粒度控制
如果需要更复杂的权限判断逻辑（比如根据请求头、用户身份放行），可以给“partial”阶段配置Lambda授权器，在授权器代码中仅允许目标方法的请求通过。这种方式灵活性更高，但需要编写并维护额外的Lambda代码。